ทำไมการตอบกลับ RADIUS เรื่อง VLAN จึงไม่เกิดผลใด ๆ กับผู้ใช้ VPN

คุณเพิ่มคุณลักษณะ VLAN ลงในนโยบาย NPS ผู้ใช้ VPN เชื่อมต่อ และแล็ปท็อปก็ยังลงเอยที่พูลเริ่มต้น เซิร์ฟเวอร์ RADIUS ส่งกลับสิ่งที่คุณขอ ซึ่งทำให้ความล้มเหลวดูเหมือนปัญหาแคช ปกติแล้วไม่ใช่ Access-Accept มีคำใบ้อนุญาต และมีเพียงเซิร์ฟเวอร์การเข้าถึงเครือข่ายที่ได้รับคำใบ้เหล่านั้นเท่านั้นที่เปลี่ยนคำใบ้หนึ่งให้เป็นการกำหนดเครือข่ายได้

เริ่มที่เกตเวย์ ไม่ใช่นโยบาย

ติดตามห่วงโซ่จากไคลเอนต์เข้ามาข้างในก่อนเปลี่ยนแปลงสิ่งใด ไคลเอนต์ขอเซสชันจากเกตเวย์ เกตเวย์ถาม RADIUS ว่าผู้ใช้ได้รับอนุญาตหรือไม่ และ RADIUS ตอบกลับด้วยผลลัพธ์และชุดคุณลักษณะ จากนั้นเกตเวย์จึงนำสิ่งที่รู้วิธีนำไปใช้ไปใช้

การตรวจสอบของคุณเริ่มที่ขั้นตอนที่สี่ จึงทำให้สามขั้นแรกดูปกติ ไม่มีสิ่งใดในการแลกเปลี่ยนบังคับให้เกตเวย์นำคุณลักษณะที่ได้รับไปใช้งาน คำตอบคือคำขอถึงเกตเวย์ ไม่ใช่ข้อเท็จจริงเกี่ยวกับไคลเอนต์

สิ่งที่สวิตช์ทำได้และ VPN ทำไม่ได้

สวิตช์การเข้าถึง 802.1X เป็นตัวรับรองความถูกต้องที่มีพอร์ต และการกำหนด VLAN แบบไดนามิกย้ายพอร์ตหนึ่งไปยัง VLAN ที่สวิตช์มีอยู่แล้ว คุณลักษณะอุโมงค์ RADIUS อธิบายเจตนานั้นในรูปแบบที่สวิตช์เข้าใจ VPN แบบกำหนดเส้นทางสิ้นสุดอุโมงค์ ไม่ใช่พอร์ตสวิตช์ และไคลเอนต์มักได้รับที่อยู่และเส้นทางแทนการเป็นสมาชิกของโดเมนออกอากาศ ไม่มีพอร์ตให้ย้าย คุณลักษณะเดิมจึงไม่มีอะไรให้กระทำ

นี่คือความแตกต่างของแบบจำลอง ไม่ใช่บั๊กของผู้จำหน่าย เกตเวย์บางรุ่นเพิ่มนโยบายกลุ่มของตัวเอง การเลือกพูล หรือกลไกตัวกรองที่ดูคล้ายกันในภาพหน้าจอ รุ่นอื่นไม่นำสิ่งใดไปใช้ และคุณลักษณะนั้นถูกบันทึกและเพิกเฉย อ่านเอกสารของโหมดการเข้าถึงระยะไกลที่คุณเปิดใช้จริง ไม่ใช่โหมดในภาพหน้าจอ

อ่านคำตอบที่เซิร์ฟเวอร์ส่งมาจริง

ยืนยันสิ่งที่ RADIUS ส่งกลับ ไม่ใช่สิ่งที่ตัวแก้ไขนโยบายแสดง คำขอทดสอบด้วยชื่อผู้ใช้เดิมและรหัสผ่านที่รู้จักจะพิมพ์คุณลักษณะตอบกลับในรูปแบบที่อ่านได้ ซึ่งแก้คำถามได้ในขั้นตอนเดียว

radtest alice secret 10.0.0.10 0 testing123

หากคุณลักษณะ VLAN หายไปจากคำตอบนั้น ให้แก้การจับคู่นโยบายก่อน หากมีอยู่ แสดงว่าเซิร์ฟเวอร์ทำส่วนของตนแล้ว และช่องว่างอยู่ปลายทาง

พิสูจน์นโยบายเซสชันก่อน แล้วจึงพิสูจน์การเข้าถึง

ตอนนี้ดูเซสชันที่เกตเวย์สร้างขึ้น รายการเซสชันที่ใช้งานอยู่แสดงพูล ที่อยู่ที่กำหนด และนโยบายกลุ่มใด ๆ ที่เกตเวย์แนบมา และนั่นคือหลักฐานเดียวที่สำคัญต่อการบังคับใช้ เปรียบเทียบกับสิ่งที่ผู้ใช้เข้าถึงได้ ไม่ใช่ที่นโยบายตั้งใจ

swanctl --list-sas

จากนั้นทดสอบจากไคลเอนต์ ทรัพยากรหนึ่งที่อนุญาตและหนึ่งที่ปฏิเสธ เพราะที่อยู่จากพูลที่ถูกต้องไม่ได้พิสูจน์การแยกกัน หากเกตเวย์ไม่มีกลไกสำหรับการกำหนดที่คุณต้องการ สำเนาคุณลักษณะที่เพิ่มขึ้นจะไม่สร้างกลไกนั้น ที่อยู่จากพูลที่คาดหวังสามารถอยู่ร่วมกับการเข้าถึงทุกพูลอื่นได้เต็มรูปแบบ เลือกกลไกนโยบายที่รองรับหรือเปลี่ยนการออกแบบเครือข่ายอย่างตั้งใจ