VPN-ul FortiGate ajunge în grupul greșit: potrivire RADIUS
Fortinet-Group-Name este comparat cu răspunsul, nu cu eticheta locală a grupului. Verificați cele trei nume înainte de a extinde potrivirea la Any.
Autentificarea reușește, tunelul se ridică, iar utilizatorul ajunge în politica greșită sau în nicio politică. Nimic din jurnalul FortiGate nu anunță că grupul lipsea, pentru că din partea lui autentificarea a funcționat, iar potrivirea grupului pur și simplu nu s-a declanșat. Lanțul pe care trebuie să îl inspectați conține trei nume separate, iar acestea nu sunt de obicei același șir.
Trei nume cu trei roluri
Notați toate trei înainte de a atinge orice configurație, pentru că două dintre ele trăiesc în sisteme diferite.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Grupul din director este ceea ce evaluează politica dumneavoastră RADIUS. Atributul returnat este o valoare din interiorul răspunsului Access-Accept. Grupul local FortiGate este un container la care politica face referire după nume. Confundarea oricăror două dintre ele produce o autentificare care funcționează și o autorizare care nu funcționează.
Unde se face de fapt potrivirea
Explicația potrivirii grupurilor RADIUS de la Fortinet indică Fortinet-Group-Name drept atribut de grup implicit. FortiGate compară serverul la distanță configurat și valoarea numelui grupului cu ceea ce poartă răspunsul, ceea ce înseamnă că comparația se face cu șirul returnat, nu cu eticheta afișată a grupului local.
De aceea un grup local numit VPN-Engineering poate sta lângă o valoare returnată vpn-engineering și nu se potrivește cu nimic. Majusculele și ortografia nu sunt cosmetice în această comparație. Alegeți un singur șir, folosiți-l în răspuns și faceți referire la același șir în regula de potrivire a gateway-ului.
Pe FortiAuthenticator grupul trebuie asociat atributului și inclus în politica de serviciu RADIUS corespunzătoare, cu controlul de returnare a atributului de grup activat acolo unde se aplică.
Răspunsul poate reuși și fără atribut
Pentru NPS sau alt server RADIUS, impuneți condiția grupului din director în politică și apoi configurați atributul de răspuns acceptat. O verificare reușită a parolei produce singură un Access-Accept, iar un Access-Accept fără șir de grup este un răspuns perfect valid care nu autorizează nimic pe partea FortiGate. Aceasta este cea mai comună formă a problemei.
A defini un grup nu este același lucru cu a-l trimite. Sunt doi pași de configurare pe două ecrane diferite, iar de obicei se face doar unul dintre ei.
De ce potrivirea cu Any este o capcană
O potrivire de grup la distanță Any este un design legitim atunci când serverul RADIUS admite deja exact populația pe care o doriți. Alegeți acea delegare în mod deliberat. Extinderea potrivirii pentru a face să dispară un atribut lipsă admite fiecare cont pe care serverul RADIUS îl acceptă, inclusiv pe cele care nu ar fi trebuit să aibă niciodată acces la VPN. Simptomul dispare, iar controlul accesului încetează discret să mai existe.
Dacă nu puteți numi pe cine ar trebui să admită serverul RADIUS, nu sunteți pregătit pentru o potrivire Any.
Păstrați patru înregistrări pentru suport
Când tot nu funcționează, colectați patru lucruri: politica RADIUS selectată, atributul de grup returnat efectiv, serverul FortiGate și valoarea cu care a fost comparat, și grupul local rezultat. Aceste patru înregistrări localizează ruptura fără a expune parole sau a schimba apartenența la grupuri pentru a vedea ce se întâmplă.
Testați un cont autorizat și unul în afara domeniului sub regula reală și verificați politica și accesul la resurse rezultate, precum și rezultatul autentificării. Doar perechea vă spune dacă potrivirea face ceea ce credeți.