Zašto RADIUS VLAN odgovor ne postiže ništa za VPN korisnika

Dodate VLAN atribut u NPS politiku, VPN korisnik se poveže, a laptop i dalje završi u podrazumevanom poolu. RADIUS server vraća ono što ste tražili, zbog čega kvar izgleda kao problem sa kešom. Obično nije. Access-Accept nosi naznake autorizacije, a samo mrežni pristupni server koji ih je primio može ih pretvoriti u mrežnu dodelu.

Pođite od gatewaya, a ne od politike

Prođite lanac od klijenta ka unutra pre nego što bilo šta promenite. Klijent traži sesiju od gatewaya, gateway pita RADIUS sme li korisnik da dobije sesiju, a RADIUS odgovara rezultatom i skupom atributa. Zatim gateway primeni ono što zna da primeni.

Vaš prolaz počinje na četvrtom koraku, zato prva tri izgledaju zdravo. Ništa u razmeni ne obavezuje gateway da implementira primljeni atribut. Odgovor je zahtev upućen gatewayu, a ne činjenica o klijentu.

Šta svič radi što VPN ne može

802.1X pristupni svič je autentifikator sa portovima, a dinamička dodela VLAN-a premešta jedan od tih portova u VLAN koji svič već nosi. RADIUS atributi tunela opisuju tu nameru u obliku koji svič razume. Rutirani VPN prekida tunele, a ne portove sviča, i njegovi klijenti obično dobiju adresu i rutu umesto članstva u broadcast domenu. Nema porta za premeštanje, pa isti atribut nema na šta da deluje.

To je razlika u modelu, a ne greška proizvođača. Neki gatewayi dodaju sopstvenu grupnu politiku, izbor poola ili mehanizam filtriranja koji na snimku ekrana izgleda slično. Drugi ne implementiraju ništa od toga, a atribut se beleži i zanemaruje. Čitajte dokumentaciju za način daljinskog pristupa koji ste stvarno omogućili, a ne za onaj sa snimka ekrana.

Pročitajte odgovor koji je server stvarno poslao

Potvrdite šta je RADIUS vratio, a ne šta prikazuje uređivač politike. Testni zahtev sa istim korisničkim imenom i poznatom lozinkom ispisuje atribute odgovora u čitljivom obliku, što rešava pitanje u jednom koraku.

radtest alice secret 10.0.0.10 0 testing123

Ako VLAN atributi nedostaju u tom odgovoru, prvo popravite podudaranje politike. Ako su prisutni, server je odradio svoj deo, a praznina je nizvodno.

Prvo dokažite politiku sesije, zatim dostupnost

Sada pogledajte sesiju koju je gateway izgradio. Spisak aktivnih sesija prikazuje pool, dodeljenu adresu i svaku grupnu politiku koju je gateway priložio, a to je jedini dokaz koji je važan za sprovođenje. Uporedite to sa onim do čega korisnik može da dođe, a ne sa onim što je politika nameravala.

swanctl --list-sas

Zatim sa klijenta testirajte jedan dozvoljeni i jedan zabranjeni resurs, jer adresa iz ispravnog poola ne dokazuje izolaciju. Ako gateway nema mehanizam za dodelu koju želite, više kopija atributa ga neće stvoriti. Adresa iz očekivanog poola može postojati uz pun pristup svakom drugom poolu. Izaberite podržani mehanizam politike ili namerno promenite dizajn mreže.