Dlaczego odpowiedź RADIUS dotycząca VLAN nic nie robi dla użytkownika VPN

Dodajesz atrybut VLAN do polityki NPS, użytkownik VPN się łączy, a laptop nadal trafia do domyślnej puli. Serwer RADIUS zwraca to, o co prosiłeś, przez co awaria wygląda na problem z pamięcią podręczną. Zwykle nią nie jest. Access-Accept niesie wskazówki autoryzacji, a tylko serwer dostępu sieciowego, który je otrzymał, może zamienić jedną z nich w przypisanie sieciowe.

Zacznij od bramy, nie od polityki

Przejdź łańcuch od klienta do wnętrza, zanim cokolwiek zmienisz. Klient prosi bramę o sesję, brama pyta RADIUS, czy użytkownik może ją dostać, a RADIUS odpowiada wynikiem i zestawem atrybutów. Następnie brama stosuje to, co umie zastosować.

Twoje przejście zaczyna się na czwartym kroku, dlatego pierwsze trzy wyglądają zdrowo. Nic w wymianie nie zobowiązuje bramy do zaimplementowania otrzymanego atrybutu. Odpowiedź jest żądaniem do bramy, a nie faktem o kliencie.

Co robi przełącznik, a VPN nie może

Przełącznik dostępu 802.1X to autentykator z portami, a dynamiczne przypisanie VLAN przenosi jeden z tych portów do VLAN, który przełącznik już przenosi. Atrybuty tunelu RADIUS opisują ten zamiar w formie zrozumiałej dla przełącznika. Rutowany VPN kończy tunele, a nie porty przełącznika, a jego klienci zwykle dostają adres i trasę zamiast członkostwa w domenie rozgłoszeniowej. Nie ma portu do przeniesienia, więc ten sam atrybut nie ma na czym działać.

To różnica modeli, a nie błąd dostawcy. Niektóre bramy dodają własną politykę grupy, wybór puli lub mechanizm filtrowania, który na zrzucie ekranu wygląda podobnie. Inne nie implementują niczego z tego, a atrybut jest rejestrowany i ignorowany. Czytaj dokumentację trybu dostępu zdalnego, który naprawdę włączyłeś, a nie tego ze zrzutu ekranu.

Przeczytaj odpowiedź, którą serwer faktycznie wysłał

Potwierdź, co zwrócił RADIUS, a nie to, co pokazuje edytor polityki. Żądanie testowe z tą samą nazwą użytkownika i znanym hasłem wypisuje atrybuty odpowiedzi w czytelnej formie, co rozstrzyga pytanie w jednym kroku.

radtest alice secret 10.0.0.10 0 testing123

Jeśli w tej odpowiedzi brakuje atrybutów VLAN, najpierw napraw dopasowanie polityki. Jeśli są obecne, serwer zrobił swoje, a luka jest dalej.

Najpierw udowodnij politykę sesji, potem osiągalność

Teraz spójrz na sesję zbudowaną przez bramę. Lista aktywnych sesji pokazuje pulę, przydzielony adres i wszelką politykę grupy dołączoną przez bramę, i to jedyny dowód, który liczy się dla egzekwowania. Porównaj to z tym, do czego użytkownik może dotrzeć, a nie z tym, co zamierzała polityka.

swanctl --list-sas

Następnie przetestuj z klienta jeden dozwolony i jeden zabroniony zasób, ponieważ adres z właściwej puli nie dowodzi izolacji. Jeśli brama nie ma mechanizmu dla pożądanego przypisania, więcej kopii atrybutu go nie stworzy. Adres z oczekiwanej puli może współistnieć z pełnym dostępem do każdej innej puli. Wybierz obsługiwany mechanizm polityki albo świadomie zmień projekt sieci.