Zakaj odgovor RADIUS o VLAN ne naredi ničesar za uporabnika VPN

Atribut VLAN dodate v politiko NPS, uporabnik VPN se poveže, prenosnik pa vseeno pristane v privzetem naboru. Strežnik RADIUS vrača, kar ste zahtevali, zato je videti napaka kot težava s predpomnilnikom. Običajno ni. Access-Accept prinaša namige za pooblastitev, in samo strežnik omrežnega dostopa, ki jih je prejel, lahko enega spremeni v omrežno dodelitev.

Začnite pri prehodu, ne pri politiki

Prehodite verigo od odjemalca navznoter, preden karkoli spremenite. Odjemalec prosi prehod za sejo, prehod vpraša RADIUS, ali jo uporabnik sme dobiti, in RADIUS odgovori z rezultatom in nizom atributov. Nato prehod uporabi, kar zna uporabiti.

Vaš pregled se začne pri četrtem koraku, zato so prvi trije videti zdravi. Nič v izmenjavi ne obvezuje prehoda, da bi izvedel prejeti atribut. Odgovor je zahteva prehodu, ne dejstvo o odjemalcu.

Kar stikalo zmore in VPN ne

Dostopno stikalo 802.1X je overitelj s pristanišči, dinamična dodelitev VLAN pa premakne eno od teh pristanišč v VLAN, ki ga stikalo že prenaša. Atributi tunela RADIUS opisujejo ta namen v obliki, ki jo stikalo razume. Usmerjeni VPN zaključuje tunele, ne stikalnih pristanišč, in njegovi odjemalci običajno dobijo naslov in pot namesto članstva v oddajni domeni. Pristanišča za premik ni, zato isti atribut nima na kaj delovati.

To je razlika v modelu, ne napaka ponudnika. Nekateri prehodi dodajo lastno skupinsko politiko, izbiro nabora ali mehanizem filtriranja, ki je na posnetku zaslona videti podobno. Drugi ne izvajajo nič od tega, atribut pa se zabeleži in prezre. Preberite dokumentacijo za način oddaljenega dostopa, ki ste ga dejansko omogočili, ne tistega s posnetka zaslona.

Preberite odgovor, ki ga je strežnik zares poslal

Potrdite, kaj je vrnil RADIUS, ne tega, kar prikazuje urejevalnik politik. Preizkusna zahteva z istim uporabniškim imenom in znanim geslom izpiše atribute odgovora v berljivi obliki, in to vprašanje razreši v enem koraku.

radtest alice secret 10.0.0.10 0 testing123

Če v tem odgovoru atributov VLAN ni, najprej popravite ujemanje politike. Če so prisotni, je strežnik opravil svoj del, vrzel pa je nižje.

Najprej dokažite politiko seje, nato dosegljivost

Zdaj poglejte sejo, ki jo je zgradil prehod. Seznam aktivnih sej prikazuje nabor, dodeljeni naslov in morebitno skupinsko politiko, ki jo je prehod priložil, in to je edini dokaz, ki šteje za uveljavljanje. Primerjajte to s tem, do česar lahko uporabnik pride, ne s tem, kar je politika nameravala.

swanctl --list-sas

Nato pri odjemalcu preizkusite en dovoljen in en zavrnjen vir, ker naslov iz pravega nabora ne dokazuje izolacije. Če prehod nima mehanizma za želeno dodelitev, več kopij atributa tega ne bo ustvarilo. Naslov iz pričakovanega nabora lahko obstaja skupaj s polnim dostopom do vsakega drugega nabora. Izberite podprt mehanizem politike ali namerno spremenite zasnovo omrežja.