VPN ของ FortiGate ไปอยู่ในกลุ่มผิด: การจับคู่ RADIUS
Fortinet-Group-Name ถูกจับคู่กับคำตอบ ไม่ใช่กับป้ายชื่อกลุ่มภายในของคุณ ตรวจสอบชื่อทั้งสามก่อนขยายการจับคู่เป็น Any
การเข้าสู่ระบบสำเร็จ อุโมงค์ขึ้น และผู้ใช้ไปอยู่ในนโยบายผิดหรือไม่ไปอยู่ในนโยบายใดเลย ไม่มีสิ่งใดในบันทึก FortiGate ประกาศว่ากลุ่มหายไป เพราะฝั่งของมันการพิสูจน์ตัวตนทำงานและการจับคู่กลุ่มก็ไม่ได้เกิดขึ้น สายโซ่ที่คุณต้องตรวจสอบมีสามชื่อแยกกัน และโดยปกติแล้วทั้งสามไม่ใช่สตริงเดียวกัน
สามชื่อกับสามหน้าที่
เขียนทั้งสามลงก่อนแตะการกำหนดค่าใด ๆ เพราะสองในนั้นอยู่ในระบบที่ต่างกัน
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
กลุ่มในไดเรกทอรีคือสิ่งที่ นโยบาย RADIUS ของคุณประเมิน แอตทริบิวต์ที่ส่งกลับคือค่าภายในคำตอบ Access-Accept กลุ่มภายในของ FortiGate คือคอนเทนเนอร์ที่นโยบายอ้างถึงตามชื่อ การสลับสองอย่างใดก็ตามทำให้เกิดการเข้าสู่ระบบที่ทำงานและการอนุญาตที่ไม่ทำงาน
การจับคู่เกิดขึ้นจริงที่ไหน
คำอธิบายของ Fortinet เรื่องการจับคู่กลุ่ม RADIUS ระบุว่า Fortinet-Group-Name เป็นแอตทริบิวต์กลุ่มเริ่มต้น FortiGate เปรียบเทียบเซิร์ฟเวอร์ระยะไกลที่กำหนดค่าไว้และค่าชื่อกลุ่มกับสิ่งที่คำตอบบรรจุ ซึ่งหมายความว่าการเปรียบเทียบนั้นกับสตริงที่ส่งกลับ ไม่ใช่กับป้ายที่แสดงของกลุ่มภายในของคุณ
นั่นคือเหตุผลที่กลุ่มภายในชื่อ VPN-Engineering อาจอยู่ข้างค่าที่ส่งกลับ vpn-engineering และไม่ตรงกับสิ่งใดเลย ตัวพิมพ์เล็กใหญ่และการสะกดไม่ใช่เรื่องความสวยงามในการเปรียบเทียบนี้ เลือกสตริงหนึ่ง ใช้ในคำตอบ และอ้างถึงสตริงเดียวกันในกฎการจับคู่ของเกตเวย์
บน FortiAuthenticator กลุ่มต้องเชื่อมโยงกับแอตทริบิวต์และรวมไว้ในนโยบายบริการ RADIUS ที่ตรงกัน โดยเปิดการควบคุมการส่งคืนแอตทริบิวต์กลุ่มเมื่อเกี่ยวข้อง
คำตอบสามารถสำเร็จได้โดยไม่มีแอตทริบิวต์
สำหรับ NPS หรือเซิร์ฟเวอร์ RADIUS อื่น ให้บังคับเงื่อนไขกลุ่มไดเรกทอรีในนโยบายแล้วกำหนดค่าแอตทริบิวต์คำตอบที่รองรับ การตรวจสอบรหัสผ่านที่สำเร็จจะสร้าง Access-Accept ขึ้นเอง และ Access-Accept ที่ไม่มีสตริงกลุ่มคือคำตอบที่ถูกต้องสมบูรณ์ซึ่งไม่อนุญาตสิ่งใดฝั่ง FortiGate นี่คือรูปแบบที่พบบ่อยที่สุดของปัญหา
การกำหนดกลุ่มไม่เหมือนกับการส่งกลุ่ม สองขั้นตอนการกำหนดค่าบนสองหน้าจอที่ต่างกัน และโดยปกติทำเพียงขั้นตอนเดียว
เหตุใดการจับคู่กับ Any จึงเป็นกับดัก
การจับคู่กลุ่มระยะไกลแบบ Any เป็นการออกแบบที่ชอบด้วยเหตุผลเมื่อเซิร์ฟเวอร์ RADIUS ยอมรับประชากรที่คุณต้องการอยู่แล้ว เลือกการมอบหมายนั้นอย่างตั้งใจ การขยายการจับคู่ให้แอตทริบิวต์ที่หายไปหมดไปจะยอมรับทุกบัญชีที่เซิร์ฟเวอร์ RADIUS บังเอิญยอมรับ รวมถึงบัญชีที่ไม่เคยตั้งใจให้เข้าถึง VPN อาการหายไปและการควบคุมการเข้าถึงก็หยุดมีอยู่อย่างเงียบ ๆ
หากคุณไม่สามารถระบุได้ว่าเซิร์ฟเวอร์ RADIUS ควรยอมรับใคร คุณยังไม่พร้อมสำหรับการจับคู่ Any
เก็บบันทึกสี่อย่างไว้สำหรับการสนับสนุน
เมื่อยังไม่ทำงาน ให้รวบรวมสี่อย่าง: นโยบาย RADIUS ที่เลือก แอตทริบิวต์กลุ่มที่ส่งกลับจริง เซิร์ฟเวอร์ FortiGate และค่าที่ใช้เปรียบเทียบ และกลุ่มภายในที่เกิดขึ้น บันทึกทั้งสี่นี้ระบุตำแหน่งของความล้มเหลวโดยไม่เปิดเผยรหัสผ่านหรือเปลี่ยนสมาชิกภาพกลุ่มเพื่อดูว่าเกิดอะไรขึ้น
ทดสอบบัญชีที่ได้รับอนุญาตหนึ่งบัญชีและบัญชีที่อยู่นอกขอบเขตหนึ่งบัญชีภายใต้กฎจริง และตรวจสอบนโยบายและสิทธิ์เข้าถึงทรัพยากรที่เป็นผลรวมถึงผลการพิสูจน์ตัวตน มีเพียงคู่นี้เท่านั้นที่บอกได้ว่าการจับคู่ทำสิ่งที่คุณคิดหรือไม่