Kuongeza mtumiaji kwenye kikundi cha VPN hakupewi ufikiaji peke yake
Uanachama wa kikundi ni sharti moja, si ruhusa. Angalia kile lango lililolinganisha, soma rekodi ya kukubali au kukataa, na ujaribu matokeo yote mawili.
Akaunti iko kwenye kikundi sahihi, kuingia kumefanikiwa, na muunganisho unakataliwa au haufikii kitu cha maana. Kuongeza vikundi hutoa zaidi ya tiketi ilivyoomba. Uanachama ni pembejeo moja ya uamuzi, si uamuzi: lango hulinganisha ukweli na sera iliyopangwa kisha huamua. Ikiwa sharti lingine limeshindwa, kikundi hubadilisha mfiduo wako tu.
Uanachama wa kikundi ni sharti, si ruhusa
Katika RADIUS kikundi huja kama sifa ya uidhinishaji, na sifa hueleza kipindi, hazikidhinishi. Seva hujibu Access-Accept au Access-Reject na inaweza kuongeza Filter-Id, Class au sifa za handaki za RFC 2868. Hakuna kinachobadilisha kikundi kuwa ufikiaji kamili; ramani hiyo huandikwa na aliyeweka sera.
Ndiyo sababu jina moja la kikundi hujiendesha tofauti kwenye mifumo miwili. Microsoft NPS huunda sera za mtandao kutoka masharti, mipaka na mipangilio na huzitathmini kwa mpangilio. OpenVPN Access Server ina modeli yake, na seva ya jamii mara nyingi huachia yote kwa script ya client-connect au faili ya client-config-dir.
Sheria iliyolingana ndiyo huamua, si kikundi ulichotarajia
Injini nyingi husimama kwenye sera ya kwanza inayolingana au mahususi zaidi. Ikiwa sera 3 inakataa na sera 7 inaruhusu, kipindi kinaweza kushindwa kabla ya kufikia sheria iliyokiruhusu kupita. Mpangilio ni mpangilio halisi katika NPS na bidhaa nyingi za udhibiti wa ufikiaji.
Masharti yanayoandamana na kikundi ni nusu nyingine: hali ya kifaa, njia ya uthibitishaji, MFA iliyokamilika, mtandao wa chanzo, somo la cheti au dirisha la muda. Ikiwa moja haijatimizwa, sera hailingani, injini huanguka na kukataa kwa chaguo-msingi hutumika.
Maelezo ya saraka huunda udanganyifu huo huo. Sera ya uanachama wa vikundi vya Windows husoma SID kwenye tokeni, ambapo vikundi vya usalama pekee vimeorodheshwa; kikundi cha usambazaji hakionekani kamwe.
Soma rekodi ya kukubali au kukataa kabla ya kugusa kikundi
Uliza kwanza jambo moja: ombi lilifika hatua ya uidhinishaji? Katika NPS 6272 hurekodi ufikiaji uliotolewa, 6273 kukataa, na 6274 ombi lililotupwa kabla ya tathmini. Namba hizo tatu hugawanya tatizo katika uchunguzi tatu, na mmoja pekee unahusu vikundi.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Ikiwa rekodi haipatikani, uliza seva moja kwa moja na usome inachorudisha. Bila Filter-Id na sifa za handaki, seva huona kipindi kuwa cha kawaida na lango hutumia sheria zake.
radtest alice 'password' 10.0.0.5 0 testing123Linganisha sifa zilizorudishwa na zile ambazo lango huandika, si na kile jina la kikundi linadokeza. Hiyo hutenganisha tatizo la sera na tatizo la utekelezaji.
Mabadiliko ya kikundi hayafanyi kazi kwa nyuma
Sifa za uidhinishaji hurudishwa mara moja, kipindi kinapothibitishwa. Lango huzihifadhi kwenye kipindi na halisomi saraka kwa kila pakiti, hivyo kipindi kilichoanzishwa huendelea kufanya kazi baada ya mtu kuondolewa kwenye kikundi.
Ili mabadiliko yafanye kazi unahitaji uamuzi mpya wa uidhinishaji, si funguo mpya pekee. Ikiwa seva inaunga mkono RFC 5176, Disconnect-Request au CoA-Request kwenda UDP 3799 hulazimisha tathmini upya; vinginevyo kata muunganisho na uache kiunganishe tena.
Rekebisha sharti, si kikundi
Ukiwa unajua sera ipi ilifanya kazi, marekebisho huwa madogo: panga upya kukataa kunakofunika ruhusa iliyokusudiwa, ongeza sharti la kifaa au MFA linalokosekana, au andika sheria nyembamba kwa rasilimali moja.
Mzunguko mfupi huiweka mabadiliko kuwa ya kweli:
- Zalisha tena kukataa kwa akaunti ya awali na uandike ID ya tukio kabla ya kubadilisha chochote.
- Badilisha kitu kimoja, mpangilio wa sera, sharti moja au kikundi kimoja, na uandike kipi.
- Fungua kipindi kipya, thibitisha ruhusa inaonekana kwenye rekodi na rasilimali inafunguka kweli.
- Jaribu mtumiaji anayepaswa kukataliwa bado, ili marekebisho hayakupanua sera.
Ikiwa ruhusa ni sahihi na rasilimali haifunguki, tatizo limehamia uelekezaji au utatuzi wa majina wakati uidhinishaji ulipopita.