VPN na FortiGate pristane v napačni skupini: ujemanje RADIUS
Fortinet-Group-Name se primerja z odgovorom, ne z lokalno oznako skupine. Preverite tri imena, preden razširite ujemanje na Any.
Prijava uspe, tunel se dvigne in uporabnik pristane pri napačni politiki ali pri nobeni politiki. Nič v dnevniku FortiGate ne naznani, da je skupina manjkala, ker je z njegove strani preverjanje pristnosti delovalo in ujemanje skupine se preprosto ni sprožilo. Veriga, ki jo morate pregledati, vsebuje tri ločena imena, in običajno niso ista besedna zveza.
Tri imena s tremi nalogami
Zapišite vse tri, preden se dotaknete katere koli konfiguracije, ker dve od njih živita v različnih sistemih.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Skupina v imeniku je tisto, kar ocenjuje vaša politika RADIUS. Vrnjeni atribut je vrednost znotraj odgovora Access-Accept. Lokalna skupina FortiGate je vsebnik, na katerega se politika sklicuje po imenu. Zamenjava katerih koli dveh od teh ustvari prijavo, ki deluje, in pooblastilo, ki ne deluje.
Kje se ujemanje dejansko izvede
Fortinetovo razlaga ujemanja skupin RADIUS navaja Fortinet-Group-Name kot privzeti atribut skupine. FortiGate primerja konfigurirani oddaljeni strežnik in vrednost imena skupine s tem, kar nosi odgovor, kar pomeni, da se primerjava izvaja z vrnjeno besedno zvezo, ne s prikazano oznako vaše lokalne skupine.
Zato lahko lokalna skupina z imenom VPN-Engineering stoji ob vrnjeni vrednosti vpn-engineering in se ne ujema z ničimer. Velike in male črke ter črkovanje v tej primerjavi niso kozmetika. Izberite eno besedno zvezo, uporabite jo v odgovoru in se sklicujte na isto besedno zvezo v pravilu ujemanja prehoda.
Na FortiAuthenticatorju mora biti skupina povezana z atributom in vključena v ustrezno servisno politiko RADIUS, z omogočenim nadzorom vračanja atributa skupine, kjer je to primerno.
Odgovor lahko uspe tudi brez atributa
Za NPS ali drug strežnik RADIUS v politiki vsilite pogoj skupine iz imenika in nato konfigurirajte podprti atribut odgovora. Uspešno preverjanje gesla samo ustvari Access-Accept in Access-Accept brez niza skupine je popolnoma veljaven odgovor, ki na strani FortiGate ničesar ne pooblasti. To je najpogostejša oblika težave.
Definirati skupino ni isto kot jo poslati. To sta dva koraka konfiguracije na dveh različnih zaslonih in običajno se izvede le eden od njiju.
Zakaj je ujemanje z Any past
Ujemanje z oddaljeno skupino Any je legitimna zasnova, ko strežnik RADIUS že sprejema točno tisto populacijo, ki jo želite. To delegiranje izberite namerno. Razširitev ujemanja, da bi izginil manjkajoči atribut, sprejme vsak račun, ki ga strežnik RADIUS slučajno sprejme, vključno s tistimi, ki nikoli niso bili mišljeni za dostop do VPN. Simptom izgine in nadzor dostopa tiho preneha obstajati.
Če ne morete imenovati, koga naj strežnik RADIUS sprejme, niste pripravljeni na ujemanje Any.
Za podporo shranite štiri zapise
Ko še vedno ne deluje, zberite štiri stvari: izbrano politiko RADIUS, dejansko vrnjeni atribut skupine, strežnik FortiGate in vrednost, s katero je bil primerjan, ter nastalo lokalno skupino. Ti štirje zapisi locirajo prelom, ne da bi razkrili gesla ali spremenili članstvo v skupinah, da bi videli, kaj se zgodi.
Preizkusite en pooblaščen in en račun izven obsega po resničnem pravilu ter preverite nastalo politiko in dostop do virov, pa tudi rezultat preverjanja pristnosti. Le par vam pove, ali ujemanje dela tisto, kar mislite.