Prečo odpoveď RADIUS s VLAN nič neurobí pre používateľa VPN

Pridáte atribút VLAN do politiky NPS, používateľ VPN sa pripojí a notebook napriek tomu skončí v predvolenom poole. Server RADIUS vracia to, o čo ste požiadali, a preto zlyhanie vyzerá ako problém s vyrovnávacou pamäťou. Zvyčajne nie je. Access-Accept nesie náznaky autorizácie a iba server sieťového prístupu, ktorý ich prijal, môže jeden z nich premeniť na sieťové priradenie.

Začnite pri bráne, nie pri politike

Prejdite reťazec od klienta dovnútra, skôr než čokoľvek zmeníte. Klient požiada bránu o reláciu, brána sa opýta RADIUS, či používateľ môže nejakú dostať, a RADIUS odpovie výsledkom a sadou atribútov. Potom brána použije to, čo vie použiť.

Vaša prehliadka začína štvrtým krokom, a preto prvé tri vyzerajú zdravo. Nič vo výmene nenúti bránu implementovať atribút, ktorý dostala. Odpoveď je požiadavka na bránu, nie fakt o klientovi.

Čo prepínač robí a VPN nedokáže

Prístupový prepínač 802.1X je autentifikátor s portami a dynamické priraďovanie VLAN presúva jeden z týchto portov do VLAN, ktorú prepínač už nesie. Atribúty tunela RADIUS opisujú ten zámer vo forme, ktorej prepínač rozumie. Smerovaný VPN ukončuje tunely, nie porty prepínača, a jeho klienti zvyčajne dostanú adresu a trasu namiesto členstva vo vysielacej doméne. Nie je žiadny port na presun, takže ten istý atribút nemá na čo pôsobiť.

Toto je rozdiel v modeli, nie chyba dodávateľa. Niektoré brány pridávajú vlastnú skupinovú politiku, výber poolu alebo mechanizmus filtrovania, ktorý na snímke obrazovky vyzerá podobne. Iné nič z toho neimplementujú, a atribút sa zapisuje a ignoruje. Čítajte dokumentáciu k režimu vzdialeného prístupu, ktorý ste skutočne zapnuli, nie k tomu zo snímky obrazovky.

Prečítajte si odpoveď, ktorú server skutočne poslal

Potvrďte, čo RADIUS vrátil, nie to, čo zobrazuje editor politiky. Testovacia požiadavka s rovnakým používateľským menom a známym heslom vypíše atribúty odpovede v čitateľnej podobe, a to vyrieši otázku jedným krokom.

radtest alice secret 10.0.0.10 0 testing123

Ak v tejto odpovedi atribúty VLAN chýbajú, najprv opravte zhodu politiky. Ak sú prítomné, server urobil svoju časť a medzera je nižšie.

Najprv dokážte politiku relácie, potom dosiahnuteľnosť

Teraz sa pozrite na reláciu, ktorú brána vytvorila. Zoznam aktívnych relácií zobrazuje pool, pridelenú adresu a akúkoľvek skupinovú politiku, ktorú brána pripojila, a to je jediný dôkaz, ktorý pre presadzovanie záleží. Porovnajte to s tým, čo používateľ dokáže dosiahnuť, nie s tým, čo politika zamýšľala.

swanctl --list-sas

Potom z klienta otestujte jeden povolený a jeden zakázaný zdroj, pretože adresa zo správneho poolu nepreukazuje izoláciu. Ak brána nemá mechanizmus pre požadované priradenie, ďalšie kópie atribútu ho nevytvoria. Adresa z očakávaného poolu môže existovať spolu s plným prístupom ku každému ďalšiemu poolu. Vyberte podporovaný mechanizmus politiky alebo zámerne zmeňte návrh siete.