VPN குழுவில் பயனரைச் சேர்ப்பது தானாகவே அணுகலைத் தராது
குழு உறுப்பினர் என்பது ஒரு நிபந்தனை, அனுமதி அல்ல. நுழைவாயில் உண்மையில் எதைப் பொருத்தியது எனப் பார்த்து, ஏற்பு அல்லது மறுப்புப் பதிவைப் படித்து, இரண்டு விளைவுகளையும் சோதிக்கவும்.
கணக்கு சரியான குழுவில் உள்ளது, உள்நுழைவு வெற்றியடைந்தது, இணைப்பு மறுக்கப்படுகிறது அல்லது பயனுள்ள எதையும் அடையவில்லை. குழுக்களைச் சேர்ப்பது டிக்கெட் கேட்டதை விட அதிகம் தரும். உறுப்பினர் என்பது முடிவின் ஒரு உள்ளீடு, முடிவு அல்ல: நுழைவாயில் உண்மைகளை ஒழுங்குபடுத்தப்பட்ட கொள்கையுடன் ஒப்பிட்ட பின் முடிவு செய்கிறது. வேறு நிபந்தனை தோற்றால், குழு உங்கள் வெளிப்பாட்டை மட்டும் மாற்றும்.
குழு உறுப்பினர் ஒரு நிபந்தனை, அனுமதி அல்ல
RADIUS இல் குழு அனுமதி பண்பாக வருகிறது, பண்புகள் அமர்வை விவரிக்கின்றன, அனுமதி தருவதில்லை. சேவையகம் Access-Accept அல்லது Access-Reject எனப் பதிலளிக்கும்; ஏற்கும்போது Filter-Id, Class அல்லது RFC 2868 இன் சுரங்கப்பாதை பண்புகளைச் சேர்க்கலாம். எதுவும் குழுவை முழு அணுகலாக மாற்றாது; அந்த வரைபடத்தை கொள்கையை அமைத்தவர் எழுதுகிறார்.
எனவே ஒரே குழுப் பெயர் இரு அமைப்புகளில் வேறாக நடக்கிறது. Microsoft NPS நிபந்தனைகள், வரம்புகள், அமைப்புகளிலிருந்து கொள்கைகளை உருவாக்கி நிர்ணயித்த வரிசையில் மதிப்பிடுகிறது. OpenVPN Access Server க்கு சொந்த குழு மற்றும் அணுகல் விதிகள் உள்ளன.
பொருந்திய விதியே முடிவு செய்கிறது, நீங்கள் எதிர்பார்த்த குழு அல்ல
பெரும்பாலான இயந்திரங்கள் முதல் பொருந்தும் கொள்கையில் அல்லது மிகக் குறிப்பிட்டதில் நிற்கின்றன. கொள்கை 3 மறுத்து கொள்கை 7 அனுமதித்தால், கடக்க விடும் விதியை அடையாமலே அமர்வு தோல்வியடையலாம்.
குழுவுடன் வரும் நிபந்தனைகள் மறுபாதி: சாதன நிலை, அங்கீகார முறை, முடிந்த MFA, மூல வலைப்பின்னல், சான்றிதழ் பொருள் அல்லது நேர சாளரம். ஒன்று பூர்த்தியாகவில்லை என்றால் கொள்கை பொருந்தாது, இயந்திரம் விழும், இயல்புநிலை மறுப்பு பொருந்தும்.
அடைவு விவரங்கள் அதே மாயையை உருவாக்குகின்றன. Windows குழு உறுப்பினர் மீது பொருந்தும் கொள்கை டோக்கனில் உள்ள SID களைப் படிக்கிறது, அங்கு பாதுகாப்புக் குழுக்கள் மட்டுமே; விநியோகக் குழு ஒருபோதும் தெரியாது.
குழுவைத் தொடும் முன் ஏற்பு அல்லது மறுப்புப் பதிவைப் படியுங்கள்
முதலில் ஒரு கேள்வி: கோரிக்கை அனுமதி நிலைக்கு வந்ததா? NPS இல் 6272 வழங்கிய அணுகல், 6273 மறுப்பு, 6274 கொள்கை மதிப்பீட்டுக்கு முன் தூக்கிய கோரிக்கை பதிவாகும். அந்த மூன்று எண்கள் பிரச்சினையை மூன்று விசாரணைகளாகப் பிரிக்கின்றன, ஒன்று மட்டுமே குழுக்கள் பற்றியது.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
பதிவு கிடைக்காவிட்டால் சேவையகத்தை நேரடியாகக் கேட்டு பதிலைப் படியுங்கள். Filter-Id மற்றும் சுரங்கப்பாதை பண்புகள் இல்லாத பதில், சேவையகம் அமர்வை சாதாரணமாகக் கருதி நுழைவாயில் தன் விதிகளைப் பயன்படுத்துகிறது என்பதைக் காட்டுகிறது.
radtest alice 'password' 10.0.0.5 0 testing123திரும்பிய பண்புகளை நுழைவாயில் ஆவணப்படுத்துவதுடன் ஒப்பிடுங்கள், குழுப் பெயர் குறிப்பதுடன் அல்ல. அது கொள்கைப் பிரச்சினையை செயலாக்கப் பிரச்சினையிலிருந்து பிரிக்கிறது.
குழு மாற்றம் பின்னோக்கிச் செயல்படாது
அனுமதி பண்புகள் அமர்வு அங்கீகரிக்கப்படும்போது ஒருமுறை திரும்பும். நுழைவாயில் அவற்றை அமர்வில் வைத்து ஒவ்வொரு தொகுப்புக்கும் அடைவை மீண்டும் படிக்காது, எனவே ஒருவர் குழுவிலிருந்து நீக்கப்பட்ட பிறகும் நிறுவப்பட்ட அமர்வு தொடர்கிறது.
மாற்றம் நடைமுறைக்கு வர புதிய அனுமதி முடிவு தேவை, புதிய சாவிகள் மட்டும் அல்ல. சேவையகம் RFC 5176 ஐ ஆதரித்தால் UDP 3799 க்கு Disconnect-Request அல்லது CoA-Request அமர்வை மீள்மதிப்பீடு செய்ய வலியுறுத்தும்; இல்லையேல் வாடிக்கையாளரைத் துண்டித்து மீண்டும் இணைய விடுங்கள்.
நிபந்தனையைச் சரிசெய்யுங்கள், குழுவை அல்ல
எந்தக் கொள்கை வேலை செய்தது என்று தெரிந்தபின் பழுது சிறியது: நோக்கிய அனுமதியை மறைக்கும் மறுப்பை மறுவரிசைப்படுத்துங்கள், தவறிய சாதன அல்லது MFA நிபந்தனையைச் சேர்க்கவும், அல்லது ஒரு வளத்திற்கு குறுகிய விதி எழுதுங்கள்.
குறுகிய சுழற்சி மாற்றத்தை நேர்மையாக வைத்திருக்கும்:
- மூல கணக்குடன் மறுப்பை மீண்டும் உருவாக்கி எதையும் மாற்றும் முன் நிகழ்வு ID ஐ எழுதுங்கள்.
- ஒரே பொருளை மாற்றுங்கள், கொள்கை வரிசை, ஒரு நிபந்தனை அல்லது ஒரு குழு, எது எனக் குறியுங்கள்.
- புதிய அமர்வைத் திறந்து, பதிவில் அனுமதி தெரிகிறதா, வளம் உண்மையில் திறக்கிறதா என உறுதிசெய்யுங்கள்.
- இன்னும் மறுக்கப்பட வேண்டிய பயனரைச் சோதியுங்கள், பழுது கொள்கையை விரிவாக்கவில்லை என.
அனுமதி சரியாக இருந்தும் வளம் திறக்கவில்லை என்றால், அனுமதி கடந்த நொடியில் பிரச்சினை வழிசெலுத்தல் அல்லது பெயர் தீர்வுக்கு மாறியது. அந்த இரண்டு பிழைகளைத் தனியே வையுங்கள்.