Зашто RADIUS VLAN одговор не чини ништа за VPN корисника

Додате VLAN атрибут у NPS политику, VPN корисник се повеже, а лаптоп ипак заврши у подразумеваном пулу. RADIUS сервер враћа оно што сте тражили, због чега квар изгледа као проблем са кешом. Обично није. Access-Accept носи назнаке ауторизације, а само мрежни приступни сервер који их је примио може их претворити у мрежну доделу.

Почните од гејтвеја, а не од политике

Прођите ланац од клијента ка унутра пре него што било шта промените. Клијент тражи сесију од гејтвеја, гејтвеј пита RADIUS сме ли корисник да добије сесију, а RADIUS одговара резултатом и скупом атрибута. Затим гејтвеј примени оно што зна да примени.

Ваш пролаз почиње на четвртом кораку, зато прва три изгледају здраво. Ништа у размени не обавезује гејтвеј да имплементира примљени атрибут. Одговор је захтев упућен гејтвеју, а не чињеница о клијенту.

Шта свич ради што VPN не може

802.1X приступни свич је аутентификатор са портовима, а динамичка додела VLAN-а премешта један од тих портова у VLAN који свич већ носи. RADIUS атрибути тунела описују ту намеру у облику који свич разуме. Рутирани VPN прекида тунеле, а не портове свича, и његови клијенти обично добију адресу и руту уместо чланства у broadcast домену. Нема порта за премештање, па исти атрибут нема на шта да делује.

То је разлика у моделу, а не грешка произвођача. Неки гејтвеји додају сопствену групну политику, избор пула или механизам филтрирања који на снимку екрана изгледа слично. Други не имплементирају ништа од тога, а атрибут се бележи и занемарује. Читајте документацију за начин даљинског приступа који сте стварно омогућили, а не за онај са снимка екрана.

Прочитајте одговор који је сервер стварно послао

Потврдите шта је RADIUS вратио, а не шта приказује уређивач политике. Тестни захтев са истим корисничким именом и познатом лозинком исписује атрибуте одговора у читљивом облику, што решава питање у једном кораку.

radtest alice secret 10.0.0.10 0 testing123

Ако VLAN атрибути недостају у том одговору, прво поправите подударање политике. Ако су присутни, сервер је одрадио свој део, а празнина је низводно.

Прво докажите политику сесије, затим доступност

Сада погледајте сесију коју је гејтвеј изградио. Списак активних сесија приказује пул, додељену адресу и сваку групну политику коју је гејтвеј приложио, а то је једини доказ који је важан за спровођење. Упоредите то са оним до чега корисник може да дође, а не са оним што је политика намеравала.

swanctl --list-sas

Затим са клијента тестирајте један дозвољени и један забрањени ресурс, јер адреса из исправног пула не доказује изолацију. Ако гејтвеј нема механизам за доделу коју желите, више копија атрибута га неће створити. Адреса из очекиваног пула може постојати уз пун приступ сваком другом пулу. Изаберите подржани механизам политике или намерно промените дизајн мреже.