VPN na FortiGate skončí v nesprávnej skupine: párovanie RADIUS
Fortinet-Group-Name sa porovnáva s odpoveďou, nie s lokálnym názvom skupiny. Prejdite tri názvy, kým rozšírite párovanie na Any.
Prihlásenie uspeje, tunel sa zdvihne a používateľ skončí pri nesprávnej politike alebo pri žiadnej politike. Nič v logu FortiGate neoznámi, že skupina chýbala, pretože z jeho strany autentifikácia fungovala a párovanie skupiny sa jednoducho nespustilo. Reťazec, ktorý treba preskúmať, obsahuje tri samostatné názvy a zvyčajne to nie je ten istý reťazec.
Tri názvy s tromi úlohami
Zapíšte všetky tri, kým sa dotknete akejkoľvek konfigurácie, pretože dve z nich žijú v rôznych systémoch.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Skupina v adresári je to, čo vyhodnocuje vaša politika RADIUS. Vrátený atribút je hodnota vnútri odpovede Access-Accept. Lokálna skupina FortiGate je kontajner, na ktorý politika odkazuje menom. Zámena ktorýchkoľvek dvoch z nich vytvorí prihlásenie, ktoré funguje, a autorizáciu, ktorá nefunguje.
Kde sa párovanie skutočne robí
Fortinet vo svojom vysvetlení párovania skupín RADIUS uvádza Fortinet-Group-Name ako predvolený atribút skupiny. FortiGate porovnáva nakonfigurovaný vzdialený server a hodnotu názvu skupiny s tým, čo odpoveď nesie, čo znamená, že porovnanie prebieha proti vrátenému reťazcu, nie proti zobrazovanému názvu vašej lokálnej skupiny.
Preto lokálna skupina s názvom VPN-Engineering môže stáť vedľa vrátenej hodnoty vpn-engineering a vôbec nič nepárovať. Veľkosť písmen a pravopis nie sú v tomto porovnaní kozmetikou. Vyberte jeden reťazec, použite ho v odpovedi a odkazujte na ten istý reťazec v pravidle párovania brány.
Na FortiAuthenticatori musí byť skupina priradená k atribútu a zahrnutá v zodpovedajúcej servisnej politike RADIUS, s povolenou kontrolou vracania atribútu skupiny, ak je to relevantné.
Odpoveď môže uspieť aj bez atribútu
Pre NPS alebo iný server RADIUS vynúťte v politike podmienku skupiny adresára a potom nakonfigurujte podporovaný atribút odpovede. Úspešná kontrola hesla sama vytvorí Access-Accept a Access-Accept bez reťazca skupiny je úplne platná odpoveď, ktorá na strane FortiGate nič neautorizuje. Toto je najčastejšia podoba problému.
Definovať skupinu nie je to isté ako ju poslať. Sú to dva konfiguračné kroky na dvoch rôznych obrazovkách a zvyčajne sa robí len jeden z nich.
Prečo je párovanie s Any pasca
Párovanie vzdialenej skupiny Any je legitímny návrh, keď server RADIUS už prijíma presne tú populáciu, ktorú chcete. Zvoľte toto delegovanie zámerne. Rozšírenie párovania, aby zmizol chýbajúci atribút, prijme každý účet, ktorý server RADIUS náhodou prijme, vrátane tých, ktoré nikdy nemali mať prístup k VPN. Príznak zmizne a riadenie prístupu potichu prestane existovať.
Ak neviete pomenovať, koho má server RADIUS prijímať, nie ste pripravení na párovanie Any.
Pre podporu si uchovajte štyri záznamy
Keď to stále nefunguje, zozbierajte štyri veci: vybranú politiku RADIUS, skutočne vrátený atribút skupiny, server FortiGate a hodnotu, s ktorou bol porovnaný, a výslednú lokálnu skupinu. Tieto štyri záznamy lokalizujú poruchu bez odhalenia hesiel alebo zmeny členstva v skupinách, len aby sa ukázalo, čo sa stane.
Otestujte jeden autorizovaný a jeden účet mimo rozsahu podľa skutočného pravidla a skontrolujte výslednú politiku a prístup k zdrojom, ako aj výsledok autentifikácie. Len táto dvojica vám povie, či párovanie robí to, čo si myslíte.