Pridanie používateľa do skupiny VPN samo o sebe neudelí prístup
Členstvo v skupine je jedna podmienka, nie oprávnenie. Pozrite sa, čo brána skutočne porovnala, prečítajte záznam o prijatí alebo odmietnutí a otestujte oba výsledky.
Účet je v správnej skupine, prihlásenie prešlo, a spojenie sa napriek tomu odmieta alebo nič užitočné nedosiahne. Pridávanie ďalších skupín dá viac, než žiadal tiket. Členstvo je jeden vstup rozhodnutia, nie rozhodnutie: brána porovná fakty s politikou a až potom rozhodne. Ak zlyhala iná podmienka, skupina mení len expozíciu.
Členstvo v skupine je podmienka, nie oprávnenie
V RADIUS je skupina atribút autorizácie a opisuje reláciu, neudeľuje ju. Server odpovedá Access-Accept alebo Access-Reject a môže pridať Filter-Id, Class alebo tunelové atribúty z RFC 2868; zariadenie ich interpretuje podľa výrobcu. Nič neprekladá skupinu na plný prístup; to píše ten, kto nastavil politiku.
Preto sa rovnaké meno skupiny správa na dvoch systémoch inak. Microsoft NPS skladá politiky z podmienok, obmedzení a nastavení a hodnotí ich v danom poradí. OpenVPN Access Server má vlastný model a komunitný server často všetko prenechá skriptu client-connect alebo súboru client-config-dir.
Rozhoduje pravidlo, ktoré sa zhodovalo, nie skupina, ktorú ste čakali
Väčšina motorov sa zastaví pri prvej zhode alebo pri najkonkrétnejšej. Ak politika 3 odmieta a politika 7 povoľuje, relácia môže zlyhať skôr, než sa dostane k pravidlu, ktoré by ju pustilo. Poradie je skutočné nastavenie a roky sa posúva.
Podmienky popri skupine sú druhá polovica: stav zariadenia, metóda overenia, dokončené MFA, zdrojová sieť, subjekt certifikátu alebo časové okno. Ak jedna chýba, politika sa nezhoduje a platí predvolené odmietnutie.
Podrobnosti adresára vytvárajú rovnakú ilúziu. Politika podľa členstva v skupinách Windows číta SID v tokene, kde sú len bezpečnostné skupiny; distribučná skupina sa nikdy neobjaví. Primárna skupina je vo vlastnom poli, takže politika na ňu naviazaná môže ticho zlyhať.
Prečítajte záznam o prijatí alebo odmietnutí, skôr než sa dotknete skupiny
Najprv jedna otázka: dostala sa žiadosť do fázy autorizácie? V NPS 6272 zaznamenáva povolený prístup, 6273 odmietnutie a 6274 žiadosť zahodenú pred hodnotením politiky. Tri čísla delia problém na tri vyšetrovania a len jedno je o skupinách.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Keď denník nie je dostupný, opýtajte sa servera a prečítajte odpoveď. Bez Filter-Id a tunelových atribútov server považuje reláciu za bežnú a brána uplatňuje vlastné pravidlá. Atribúty, ktoré vynucovací bod neimplementuje, sú iná chyba.
radtest alice 'password' 10.0.0.5 0 testing123Porovnajte atribúty s tými, ktoré brána dokumentuje, nie s tým, čo naznačuje meno skupiny. To oddeľuje problém politiky od problému vynucovania.
Zmena skupiny neplatí spätne
Atribúty sa vracajú raz, pri overení relácie. Brána ich drží na relácii a nečíta adresár pri každom pakete, preto zavedená relácia funguje aj po odobratí zo skupiny.
Na zmenu treba nové rozhodnutie o autorizácii, nie len nové kľúče. Pri RFC 5176 vynúti Disconnect-Request alebo CoA-Request na UDP 3799 nové hodnotenie; inak odpojte klienta a nechajte ho pripojiť znova.
Opravte podmienku, nie skupinu
Keď viete, ktorá politika zabrala, oprava je malá: preusporiadajte odmietnutie, ktoré zatláča želané povolenie, doplňte chýbajúcu podmienku zariadenia alebo MFA, alebo napíšte úzke pravidlo pre jeden zdroj namiesto povýšenia do skupiny s ďalšími desiatimi.
Krátky cyklus drží zmenu čestnú:
- Reprodukujte odmietnutie s pôvodným účtom a zapíšte ID udalosti pred zmenou.
- Meňte jeden objekt, poradie politík, jednu podmienku alebo jednu skupinu, a poznamenajte ktorú.
- Otvorte novú reláciu, potvrďte, že povolenie vidno v denníku a že zdroj sa naozaj otvára.
- Otestujte používateľa, ktorý má byť stále odmietaný, aby oprava politiku nerozšírila.
Ak je povolenie správne a zdroj sa neotvára, problém sa presunul na smerovanie alebo preklad mien v okamihu, keď autorizácia prešla. Držte chyby oddelené a ďalší tiket zaberie minúty.