Додавање корисника у VPN групу само по себи не даје приступ
Чланство у групи је један услов, а не дозвола. Погледајте шта је гејтвеј стварно упарио, прочитајте запис и тестирајте оба исхода.
Налог је у правој групи, пријава је успела, а веза се одбија. Додавање група даје више него што тикет тражи. Чланство је један улаз, не одлука: гејтвеј упарује чињенице са политиком и тек онда одлучује. Ако је пао други услов, група мења само изложеност.
Чланство у групи је услов, а не дозвола
У RADIUS-у група је атрибут ауторизације и описује сесију, не одобрава је. Сервер одговара Access-Accept или Access-Reject и може додати Filter-Id, Class или атрибуте тунела из RFC 2868. Ништа не пресликава групу у пун приступ; то пише онај који је поставио политику.
Зато се исто име групе понаша различито на два система. Microsoft NPS саставља политике од услова, ограничења и поставки и оцењује их задатим редом. OpenVPN Access Server има свој модел, а заједнички сервер често све препушта client-connect скрипти.
Одлуку доноси правило које се упарило, не група коју сте очекивали
Већина мотора стаје на првој политици која се упари или на најконкретнијој. Ако политика 3 одбија а политика 7 дозвољава, сесија може пасти пре него што стигне до правила које би је пропустило.
Услови уз групу су друга половина: стање уређаја, метод аутентификације, завршен MFA, изворна мрежа, субјекат сертификата или временски прозор. Кад један изостане, политика се не упари и важи подразумевано одбијање.
Детаљи именика стварају исту илузију. Политика по чланству у Windows групама чита SID-ове у токену, где су само безбедносне групе; дистрибутивна група се никад не појави.
Прочитајте запис о прихватању или одбијању пре него што дирнете групу
Прво питање: је ли захтев стигао до фазе ауторизације? На NPS-у 6272 бележи одобрен приступ, 6273 одбијање, а 6274 захтев одбачен пре оцене политике. Та три броја деле проблем на три истраге.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Кад дневник није доступан, питајте сервер и прочитајте одговор. Без Filter-Id и атрибута тунела, сервер сесију сматра обичном а гејтвеј примењује своја правила.
radtest alice 'password' 10.0.0.5 0 testing123Упоредите атрибуте са онима које гејтвеј документује, не са оним што име групе сугерише. То раздваја проблем политике од проблема примене.
Промена групе не делује уназад
Атрибути се враћају једном, при аутентификацији. Гејтвеј их чува на сесији и не чита именик по пакету, зато успостављена сесија ради и после уклањања из групе.
За промену треба нова одлука о ауторизацији, не само нови кључеви. Уз RFC 5176, Disconnect-Request или CoA-Request на UDP 3799 присиљава поновну оцену.
Поправите услов, не групу
Кад знате која је политика проручна, поправка је мала: преуредите одбијање које засењује жељено допуштење, додајте услов уређаја или MFA, или напишите уско правило за један ресурс.
Кратак циклус чува промену искреном:
- Репродукујте одбијање с изворним налогом и запишите ID догађаја пре измене.
- Промените један објекат, ред политика, један услов или једну групу, и забележите коју.
- Отворите нову сесију, потврдите да се одобрење види у дневнику и да се ресурс отвара.
- Тестирајте корисника који и даље треба да буде одбијен, да поправка није проширила политику.
Ако је одобрење исправно а ресурс се не отвара, проблем се преселио на рутирање или разрешавање имена кад је ауторизација прошла. Држите грешке одвојено.