FortiGate VPN завршава у погрешној групи: RADIUS подударање
Fortinet-Group-Name се пореди са одговором, а не са локалним називом групе. Проверите три назива пре него што проширите подударање на Any.
Пријава успе, тунел се подигне, а корисник заврши на погрешној политици или на никаквој политици. Ништа у FortiGate дневнику не објављује да је група недостајала, јер је са његове стране аутентификација радила, а подударање групе једноставно није активирано. Ланац који треба да прегледате садржи три одвојена назива и они обично нису исти стринг.
Три назива са три задатка
Запишите сва три пре него што дотакнете било коју конфигурацију, јер два од њих живе на различитим системима.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Директоријумска група је оно што ваша RADIUS политика процењује. Враћени атрибут је вредност унутар Access-Accept одговора. Локална FortiGate група је контејнер на који се политика позива по имену. Мешање било која два од њих даје пријаву која ради и ауторизацију која не ради.
Где се подударање заправо обавља
Fortinet у свом објашњењу RADIUS подударања група наводи Fortinet-Group-Name као подразумевани атрибут групе. FortiGate пореди конфигурисани удаљени сервер и вредност назива групе са оним што одговор носи, што значи да се поређење врши са враћеним стрингом, а не са приказним називом ваше локалне групе.
Зато локална група названа VPN-Engineering може стајати поред враћене вредности vpn-engineering и не подударати се ни са чим. Велика и мала слова и правопис нису козметика у овом поређењу. Изаберите један стринг, користите га у одговору и позовите се на исти стринг у правилу подударања на мрежном пролазу.
На FortiAuthenticator-у група мора бити повезана са атрибутом и укључена у одговарајућу RADIUS сервисну политику, уз омогућену контролу враћања атрибута групе где је примењиво.
Одговор може успети и без атрибута
За NPS или други RADIUS сервер, наметните услов директоријумске групе у политици, а затим конфигуришите подржани атрибут одговора. Успешна провера лозинке сама по себи производи Access-Accept, а Access-Accept без стринга групе потпуно је валидан одговор који ништа не ауторизује на страни FortiGate. То је најчешћи облик проблема.
Дефинисати групу није исто што и послати је. То су два корака конфигурације на два различита екрана и обично се изводи само један од њих.
Зашто је подударање са Any замка
Подударање са удаљеном групом Any легитиман је дизајн када RADIUS сервер већ прима тачно ону популацију коју желите. Изаберите то делегирање намерно. Проширивање подударања да би нестао атрибут који недостаје прима сваки рачун који RADIUS сервер случајно прихвати, укључујући оне којима VPN приступ никада није био намењен. Симптом нестаје и контрола приступа тихо престаје да постоји.
Ако не можете да именујете кога RADIUS сервер треба да прима, нисте спремни за подударање са Any.
Чувајте четири записа за подршку
Када и даље не ради, прикупите четири ствари: RADIUS политику која је изабрана, атрибут групе који је стварно враћен, FortiGate сервер и вредност са којом је упоређен, и резултујућу локалну групу. Та четири записа лоцирају прекид без откривања лозинки или мењања чланства у групи да би се видело шта се дешава.
Тестирајте један овлашћени и један рачун изван опсега под стварним правилом и проверите резултујућу политику и приступ ресурсима, као и резултат аутентификације. Само пар говори да ли подударање ради оно што мислите.