Pse një përgjigje RADIUS VLAN nuk bën asgjë për një përdorues VPN

Ju shtoni atributin VLAN në politikën NPS, përdoruesi VPN lidhet dhe laptopi përsëri përfundon në grupin e parazgjedhur. Serveri RADIUS kthen atë që kërkuat, gjë që e bën dështimin të duket si problem cache. Zakonisht nuk është. Një Access-Accept mbart sugjerime autorizimi, dhe vetëm serveri i aksesit në rrjet që i mori ato mund të shndërrojë njërin në një caktim rrjeti.

Filloni nga porta, jo nga politika

Ndjekni zinxhirin nga klienti drejt brendësisë përpara se të ndryshoni ndonjë gjë. Klienti i kërkon portës një sesion, porta pyet RADIUS nëse përdoruesi mund të marrë një, dhe RADIUS përgjigjet me një rezultat dhe një grup atributësh. Pastaj porta zbaton atë që di të zbatojë.

Ecja juaj nis në hapin e katërt, prandaj tre të parët duken të shëndetshëm. Asgjë në shkëmbim nuk e detyron portën të zbatojë një atribut që ka marrë. Përgjigja është një kërkesë drejtuar portës, jo një fakt për klientin.

Çfarë bën komutatori dhe VPN nuk mundet

Një komutator aksesi 802.1X është një vërtetues me porta, dhe caktimi dinamik i VLAN lëviz njërën nga ato porta në një VLAN që komutatori tashmë e bart. Atributet e tunelit RADIUS e përshkruajnë atë qëllim në një formë që komutatori e kupton. Një VPN e rrugëzuar përfundon tunele, jo porta komutatori, dhe klientët e saj zakonisht marrin një adresë dhe një rrugë në vend të anëtarësimit në një domen transmetimi. Nuk ka port për të lëvizur, kështu që i njëjti atribut nuk ka mbi çfarë të veprojë.

Ky është një ndryshim modeli, jo një defekt i furnizuesit. Disa porta shtojnë politikën e tyre të grupit, zgjedhjen e grupit ose një mekanizëm filtrimi që duket i ngjashëm në një pamje ekrani. Të tjerë nuk zbatojnë asgjë nga kjo, dhe atributi regjistrohet dhe injorohet. Lexoni dokumentacionin për modalitetin e aksesit në distancë që keni aktivizuar në të vërtetë, jo atë në pamjen e ekranit.

Lexoni përgjigjen që serveri dërgoi në të vërtetë

Konfirmoni çfarë ktheu RADIUS dhe jo çfarë shfaq redaktori i politikave. Një kërkesë testuese me të njëjtin emër përdoruesi dhe një fjalëkalim të njohur printon atributet e përgjigjes në formë të lexueshme, dhe kjo e zgjidh çështjen në një hap.

radtest alice secret 10.0.0.10 0 testing123

Nëse atributet VLAN mungojnë në atë përgjigje, së pari rregulloni përputhjen e politikës. Nëse janë të pranishme, serveri ka bërë pjesën e vet, dhe hendeku është më poshtë.

Së pari provoni politikën e sesionit, pastaj arritshmërinë

Tani shikoni sesionin që ndërtoi porta. Lista e sesioneve aktive tregon grupin, adresën e caktuar dhe çdo politikë grupi që porta ka bashkangjitur, dhe kjo është e vetmja provë që ka rëndësi për zbatimin. Krahasoni atë me atë që përdoruesi mund të arrijë, jo me atë që synonte politika.

swanctl --list-sas

Pastaj provoni nga klienti një burim të lejuar dhe një të refuzuar, sepse një adresë nga grupi i saktë nuk dëshmon izolim. Nëse porta nuk ka mekanizëm për caktimin që dëshironi, më shumë kopje të atributit nuk do të krijojnë një. Një adresë nga grupi i pritur mund të bashkëjetojë me akses të plotë në çdo grup tjetër. Zgjidhni një mekanizëm politike të mbështetur ose ndryshoni me qëllim dizajnin e rrjetit.