VPN-ja e FortiGate përfundon në grupin e gabuar: përputhja RADIUS

Hyrja ka sukses, tuneli ngrihet dhe përdoruesi përfundon në politikën e gabuar ose në asnjë politikë. Asgjë në regjistrin e FortiGate nuk njofton se grupi mungonte, sepse nga ana e tij vërtetimi funksionoi dhe përputhja e grupit thjesht nuk u aktivizua. Zinxhiri që duhet të shqyrtoni përmban tre emra të veçantë, dhe zakonisht nuk janë i njëjti varg.

Tre emra me tre detyra

Shkruajini të tre përpara se të prekni çdo konfigurim, sepse dy prej tyre jetojnë në sisteme të ndryshme.

Grupi i drejtorisë është ai që vlerëson politika juaj RADIUS. Atributi i kthyer është një vlerë brenda përgjigjes Access-Accept. Grupi lokal i FortiGate është një kontejner të cilin politika e referon me emër. Ngatërrimi i çdo dy prej tyre prodhon një hyrje që funksionon dhe një autorizim që nuk funksionon.

Ku bëhet në të vërtetë përputhja

Shpjegimi i Fortinet për përputhjen e grupeve RADIUS përmend Fortinet-Group-Name si atributin e parazgjedhur të grupit. FortiGate krahasojnë serverin e largët të konfiguruar dhe vlerën e emrit të grupit me atë që mbart përgjigja, që do të thotë se krahasimi bëhet me vargun e kthyer, jo me etiketën e shfaqur të grupit tuaj lokal.

Kjo është arsyeja pse një grup lokal i quajtur VPN-Engineering mund të qëndrojë pranë një vlere të kthyer vpn-engineering dhe të mos përputhet me asgjë. Shkronjat e mëdha dhe të vogla dhe drejtshkrimi nuk janë kozmetikë në këtë krahasim. Zgjidhni një varg, përdoreni në përgjigje dhe referojuni të njëjtit varg në rregullin e përputhjes së portës.

Në FortiAuthenticator grupi duhet të lidhet me atributin dhe të përfshihet në politikën përkatëse të shërbimit RADIUS, me kontrollin e kthimit të atributit të grupit të aktivizuar ku zbatohet.

Përgjigja mund të ketë sukses edhe pa atributin

Për NPS ose një server tjetër RADIUS, zbatoni kushtin e grupit të drejtorisë në politikë dhe më pas konfiguroni atributin e përgjigjes së mbështetur. Një kontroll i suksesshëm i fjalëkalimit prodhon vetë një Access-Accept, dhe një Access-Accept pa varg grupi është një përgjigje krejtësisht e vlefshme që nuk autorizon asgjë në anën e FortiGate. Kjo është forma më e zakonshme e problemit.

Të përkufizosh një grup nuk është e njëjta gjë si ta dërgosh atë. Këto janë dy hapa konfigurimi në dy ekrane të ndryshme, dhe zakonisht bëhet vetëm njëri prej tyre.

Pse përputhja me Any është kurth

Përputhja e një grupi të largët Any është një dizajn legjitim kur serveri RADIUS pranon tashmë saktësisht popullatën që dëshironi. Zgjidhni atë delegim me qëllim. Zgjerimi i përputhjes për të zhdukur një atribut që mungon pranon çdo llogari që serveri RADIUS pranon rastësisht, përfshirë ato që nuk ishin menduar kurrë të kishin akses në VPN. Simptoma zhduket dhe kontrolli i aksesit ndalon në heshtje së ekzistuari.

Nëse nuk mund të emërtoni kë duhet të pranojë serveri RADIUS, nuk jeni gati për një përputhje Any.

Ruani katër regjistrime për mbështetje

Kur ende nuk funksionon, mblidhni katër gjëra: politikën RADIUS të zgjedhur, atributin e grupit që u kthye në të vërtetë, serverin FortiGate dhe vlerën me të cilën u krahasua, dhe grupin lokal që rezultoi. Këto katër regjistrime lokalizojnë thyerjen pa ekspozuar fjalëkalime ose pa ndryshuar anëtarësimin në grupe për të parë çfarë ndodh.

Testoni një llogari të autorizuar dhe një jashtë fushëveprimit sipas rregullit të vërtetë, dhe kontrolloni politikën dhe aksesin në burime që rezultojnë, si dhe rezultatin e vërtetimit. Vetëm çifti ju tregon nëse përputhja po bën atë që mendoni.