Dodavanje korisnika u VPN grupu samo po sebi ne daje pristup
Članstvo u grupi je jedan uslov, a ne dozvola. Pogledajte šta je gateway stvarno upario, pročitajte zapis i testirajte oba ishoda.
Nalog je u pravoj grupi, prijava je uspela, a veza se odbija. Dodavanje grupa daje više nego što tiket traži. Članstvo je jedan ulaz, ne odluka: gateway uparuje činjenice sa politikom i tek onda odlučuje. Ako je pao drugi uslov, grupa menja samo izloženost.
Članstvo u grupi je uslov, a ne dozvola
U RADIUS-u grupa je atribut autorizacije i opisuje sesiju, ne odobrava je. Server odgovara Access-Accept ili Access-Reject i može dodati Filter-Id, Class ili atribute tunela iz RFC 2868; oprema ih tumači kako proizvođač odredi. Ništa ne preslikava grupu u puni pristup; to piše onaj koji je postavio politiku.
Zato se isto ime grupe ponaša različito na dva sistema. Microsoft NPS sastavlja politike od uslova, ograničenja i postavki i ocenjuje ih zadatim redom. OpenVPN Access Server ima svoj model, a zajednički server često sve prepušta client-connect skripti ili client-config-dir datoteci.
Odluku donosi pravilo koje se uparilo, ne grupa koju ste očekivali
Većina motora staje na prvoj politici koja se upari ili na najkonkretnijoj. Ako politika 3 odbija a politika 7 dozvoljava, sesija može pasti pre nego što stigne do pravila koje bi je propustilo. Red je stvarna postavka i pomera se godinama.
Uslovi uz grupu su druga polovina: stanje uređaja, metod autentifikacije, završen MFA, izvorna mreža, subjekt sertifikata ili vremenski prozor. Kad jedan izostane, politika se ne upari i važi podrazumevano odbijanje.
Detalji imenika stvaraju istu iluziju. Politika po članstvu u Windows grupama čita SID-ove u tokenu, gde su samo bezbednosne grupe; distribuciona grupa se nikad ne pojavi. Primarna grupa je u svom polju, pa politika vezana za nju može tiho pasti.
Pročitajte zapis o prihvatanju ili odbijanju pre nego što dirnete grupu
Prvo pitanje: je li zahtev stigao do faze autorizacije? Na NPS-u 6272 beleži odobren pristup, 6273 odbijanje, a 6274 zahtev odbačen pre ocene politike. Ta tri broja dele problem na tri istrage, a samo jedna je o grupama.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Kad dnevnik nije dostupan, pitajte server i pročitajte odgovor. Bez Filter-Id i atributa tunela, server sesiju smatra običnom a gateway primenjuje svoja pravila. Atributi koje tačka primene ne implementira su druga greška.
radtest alice 'password' 10.0.0.5 0 testing123Uporedite atribute sa onima koje gateway dokumentuje, ne sa onim što ime grupe sugeriše. To razdvaja problem politike od problema primene.
Promena grupe ne deluje unazad
Atributi se vraćaju jednom, pri autentifikaciji. Gateway ih čuva na sesiji i ne čita imenik po paketu, zato uspostavljena sesija radi i posle uklanjanja iz grupe.
Za promenu treba nova odluka o autorizaciji, ne samo novi ključevi. Uz RFC 5176, Disconnect-Request ili CoA-Request na UDP 3799 prisiljava ponovnu ocenu; inače odspojite klijenta i pustite ga da se vrati.
Popravite uslov, ne grupu
Kad znate koja je politika proradila, popravka je mala: preuredite odbijanje koje zasenjuje željeno dopuštenje, dodajte uslov uređaja ili MFA, ili napišite usko pravilo za jedan resurs umesto podizanja u grupu sa još deset.
Kratak ciklus čuva promenu iskrenom:
- Reprodukujte odbijanje s izvornim nalogom i zapišite ID događaja pre izmene.
- Promenite jedan objekat, red politika, jedan uslov ili jednu grupu, i zabeležite koji.
- Otvorite novu sesiju, potvrdite da se odobrenje vidi u dnevniku i da se resurs otvara.
- Testirajte korisnika koji i dalje treba da bude odbijen, da popravka nije proširila politiku.
Ako je odobrenje ispravno a resurs se ne otvara, problem se preselio na rutiranje ili razrešavanje imena kad je autorizacija prošla. Držite greške odvojeno i sledeći tiket traje minute.