De ce un răspuns RADIUS VLAN nu face nimic pentru un utilizator VPN

Adăugați atributul VLAN la politica NPS, utilizatorul VPN se conectează, iar laptopul ajunge tot în pool-ul implicit. Serverul RADIUS returnează exact ce ați cerut, ceea ce face ca eșecul să pară o problemă de cache. De obicei nu este. Un Access-Accept poartă indicii de autorizare, și doar serverul de acces la rețea care le-a primit poate transforma unul într-o atribuire de rețea.

Începeți cu gateway-ul, nu cu politica

Parcurgeți lanțul de la client spre interior înainte de a schimba ceva. Clientul cere o sesiune gateway-ului, gateway-ul întreabă RADIUS dacă utilizatorul poate primi una, iar RADIUS răspunde cu un rezultat și un set de atribute. Apoi gateway-ul aplică ceea ce știe să aplice.

Parcurgerea dumneavoastră începe la pasul patru, de aceea primele trei par sănătoase. Nimic din schimb nu obligă gateway-ul să implementeze un atribut primit. Răspunsul este o cerere către gateway, nu un fapt despre client.

Ce face switch-ul și VPN-ul nu poate

Un switch de acces 802.1X este un autentificator cu porturi, iar atribuirea dinamică de VLAN mută unul dintre acele porturi într-un VLAN pe care switch-ul îl transportă deja. Atributele de tunel RADIUS descriu acea intenție într-o formă pe care switch-ul o înțelege. Un VPN rutat termină tuneluri, nu porturi de switch, iar clienții săi primesc de obicei o adresă și o rută în loc de apartenență la un domeniu de difuzare. Nu există niciun port de mutat, așa că același atribut nu are pe ce acționa.

Aceasta este o diferență de model, nu un defect al furnizorului. Unele gateway-uri adaugă propria politică de grup, selecția pool-ului sau un mecanism de filtrare care arată similar într-o captură de ecran. Altele nu implementează nimic din asta, iar atributul este înregistrat și ignorat. Citiți documentația pentru modul de acces la distanță pe care l-ați activat efectiv, nu cea din captura de ecran.

Citiți răspunsul pe care serverul l-a trimis efectiv

Confirmați ce a returnat RADIUS, nu ce afișează editorul de politici. O cerere de test cu același nume de utilizator și o parolă cunoscută tipărește atributele răspunsului într-o formă lizibilă, iar asta lămurește întrebarea într-un singur pas.

radtest alice secret 10.0.0.10 0 testing123

Dacă atributele VLAN lipsesc din acel răspuns, corectați mai întâi potrivirea politicii. Dacă sunt prezente, serverul și-a făcut partea, iar golul este mai jos.

Dovediți mai întâi politica de sesiune, apoi accesibilitatea

Acum priviți sesiunea pe care a construit-o gateway-ul. Lista sesiunilor active arată pool-ul, adresa atribuită și orice politică de grup atașată de gateway, iar aceasta este singura dovadă care contează pentru aplicare. Comparați-o cu ce poate atinge utilizatorul, nu cu ce intenționa politica.

swanctl --list-sas

Apoi testați de la client o resursă permisă și una refuzată, pentru că o adresă din pool-ul corect nu dovedește izolare. Dacă gateway-ul nu are niciun mecanism pentru atribuirea dorită, mai multe copii ale atributului nu vor crea unul. O adresă din pool-ul așteptat poate coexista cu acces complet la orice alt pool. Alegeți un mecanism de politică acceptat sau schimbați intenționat proiectarea rețelei.