Dodajanje uporabnika v skupino VPN samo po sebi ne daje dostopa
Članstvo v skupini je en pogoj, ne dovoljenje. Poglejte, kaj je prehod primerjal, preberite zapis o sprejemu ali zavrnitvi in preizkusite oba izida.
Račun je v pravi skupini, prijava uspe, povezava pa je zavrnjena ali ne doseže ničesar. Dodajanje skupin da več, kot je zahtevala prijava. Članstvo je en vhod, ne odločitev: prehod primerja dejstva s politiko in šele nato odloči. Če je spodletel drug pogoj, skupina spremeni le izpostavljenost.
Članstvo v skupini je pogoj, ne dovoljenje
V RADIUS-u je skupina atribut avtorizacije in opisuje sejo, ne odobri je. Strežnik odgovori Access-Accept ali Access-Reject in lahko doda Filter-Id, Class ali atribute tunela iz RFC 2868. Nič ne preslika skupine v poln dostop; to napiše tisti, ki je nastavil politiko.
Zato se isto ime skupine obnaša različno na dveh sistemih. Microsoft NPS sestavlja politike iz pogojev, omejitev in nastavitev ter jih ocenjuje po vrsti. OpenVPN Access Server ima svoj model, skupnostni strežnik pa pogosto vse prepusti skriptu client-connect ali datoteki client-config-dir.
Odloči pravilo, ki se je ujemalo, ne skupina, ki ste jo pričakovali
Večina motorjev se ustavi pri prvi ujemajoči politiki ali najbolj specifični. Če politika 3 zavrne in politika 7 dovoli, seja lahko spodleti, preden doseže pravilo, ki bi jo spustilo. Vrstni red je resnična nastavitev.
Pogoji ob skupini so druga polovica: stanje naprave, način overjanja, dokončan MFA, izvorno omrežje, subjekt potrdila ali časovno okno. Če eden manjka, se politika ne ujema in velja privzeta zavrnitev.
Podrobnosti imenika ustvarijo isto iluzijo. Politika po članstvu v skupinah Windows bere SID-e v žetonu, kjer so le varnostne skupine; distribucijska skupina se ne pojavi. Primarna skupina je v svojem polju.
Preberite zapis o sprejemu ali zavrnitvi, preden se dotaknete skupine
Najprej eno vprašanje: ali je zahteva prišla do faze avtorizacije? V NPS 6272 zabeleži odobren dostop, 6273 zavrnitev, 6274 pa zahtevo, zavrženo pred oceno politike. Te tri številke delijo problem na tri preiskave, le ena je o skupinah.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Ko dnevnik ni dosegljiv, vprašajte strežnik in preberite odgovor. Brez Filter-Id in atributov tunela strežnik sejo šteje za običajno, prehod pa uporablja svoja pravila. Atributi, ki jih točka izvajanja ne podpira, so druga napaka.
radtest alice 'password' 10.0.0.5 0 testing123Primerjajte atribute s tistimi, ki jih prehod dokumentira, ne z imenom skupine. To loči problem politike od problema izvajanja.
Sprememba skupine ne deluje za nazaj
Atributi se vrnejo enkrat, ob overjanju seje. Prehod jih hrani na seji in ne bere imenika za vsak paket, zato uveljavljena seja deluje tudi po odstranitvi iz skupine.
Za spremembo je potrebna nova odločitev o avtorizaciji, ne le novi ključi. Ob RFC 5176 Disconnect-Request ali CoA-Request na UDP 3799 prisili ponovno oceno; sicer odklopite odjemalca in ga pustite, da se vrne.
Popravite pogoj, ne skupine
Ko veste, katera politika je delovala, je popravek majhen: prerazporedite zavrnitev, ki zasenči želeno dovoljenje, dodajte manjkajoči pogoj naprave ali MFA, ali napišite ozko pravilo za en vir namesto dviga v skupino z desetimi drugimi.
Kratek cikel ohranja spremembo pošteno:
- Ponovite zavrnitev z izvirnim računom in zapišite ID dogodka, preden karkoli spremenite.
- Spremenite en objekt, vrstni red politik, en pogoj ali eno skupino, in zabeležite katero.
- Odprite novo sejo, potrdite, da je dovoljenje v dnevniku in da se vir res odpre.
- Preizkusite uporabnika, ki mora biti še zavrnjen, da popravek ni razširil politike.
Če je dovoljenje pravilno in vir se ne odpre, se je problem preselil na usmerjanje ali razreševanje imen v trenutku, ko je avtorizacija prešla. Držite napaki ločeni in naslednja prijava bo vzela minute.