Ang VPN ng FortiGate napupunta sa maling grupo: pagtutugma ng RADIUS

Nagtagumpay ang pag-login, bumabangon ang tunnel, at napupunta ang user sa maling patakaran o wala man lang patakaran. Walang anumang sa log ng FortiGate ang nagpapahayag na kulang ang grupo, dahil sa panig nito gumana ang pagpapatunay at ang pagtutugma ng grupo ay hindi lang na-trigger. Ang kadena na kailangan mong suriin ay may tatlong magkakahiwalay na pangalan, at karaniwang hindi sila ang parehong string.

Tatlong pangalan na may tatlong tungkulin

Isulat ang tatlo bago hawakan ang anumang configuration, dahil dalawa sa kanila ay nasa magkaibang sistema.

Ang grupo sa direktoryo ang sinusuri ng iyong patakarang RADIUS. Ang ibinalik na attribute ay isang halaga sa loob ng tugon na Access-Accept. Ang lokal na grupo ng FortiGate ay isang lalagyan na tinutukoy ng patakaran sa pangalan. Ang paghahalo ng alinman sa dalawa ay nagbubunga ng pag-login na gumagana at awtorisasyon na hindi gumagana.

Saan talaga ginagawa ang pagtutugma

Ang paliwanag ng pagtutugma ng mga grupong RADIUS ng Fortinet ay nagsasaad ng Fortinet-Group-Name bilang default na attribute ng grupo. Inihahambing ng FortiGate ang naka-configure na remote server at ang halaga ng pangalan ng grupo sa kung ano ang dala ng tugon, ibig sabihin ang paghahambing ay laban sa ibinalik na string, hindi laban sa display label ng iyong lokal na grupo.

Iyon ang dahilan kung bakit ang lokal na grupong tinatawag na VPN-Engineering ay maaaring tumabi sa ibinalik na halaga vpn-engineering at wala man lang tugma. Ang malaking at maliit na titik at ispeling ay hindi kosmetiko sa paghahambing na ito. Pumili ng isang string, gamitin ito sa tugon, at tukuyin ang parehong string sa panuntunan ng pagtutugma ng gateway.

Sa FortiAuthenticator kailangang iugnay ang grupo sa attribute at isama sa tumutugmang patakaran ng serbisyong RADIUS, na naka-enable ang kontrol ng pagbabalik ng attribute ng grupo kung applicable.

Maaaring magtagumpay ang tugon nang wala ang attribute

Para sa NPS o ibang RADIUS server, ipatupad ang kondisyon ng grupo sa direktoryo sa patakaran at pagkatapos ay i-configure ang sinusuportahang attribute ng tugon. Ang matagumpay na pagtingin ng password ay gumagawa mismo ng Access-Accept, at ang Access-Accept na walang string ng grupo ay ganap na wastong tugon na hindi nagbibigay ng anumang awtorisasyon sa panig ng FortiGate. Ito ang pinakakaraniwang anyo ng problema.

Ang pagtukoy ng grupo ay hindi katulad ng pagpapadala nito. Ito ay dalawang hakbang ng configuration sa dalawang magkaibang screen, at karaniwang isa lang ang ginagawa.

Bakit bitag ang pagtutugma sa Any

Ang pagtutugma sa remote na grupong Any ay lehitimong disenyo kapag tinatanggap na ng RADIUS server ang eksaktong populasyon na gusto mo. Piliin ang delegasyong iyon nang sadya. Ang pagpapalawak ng pagtutugma upang mawala ang nawawalang attribute ay tumatanggap sa bawat account na tinatanggap ng RADIUS server, kabilang ang mga hindi kailanman dapat magkaroon ng VPN access. Nawawala ang sintomas at tahimik na nawawala ang kontrol sa access.

Kung hindi mo mapangalanan kung sino ang dapat tanggapin ng RADIUS server, hindi ka pa handa sa pagtutugma ng Any.

Magtabi ng apat na talaan para sa suporta

Kapag hindi pa rin gumagana, kolektahin ang apat na bagay: ang piniling patakarang RADIUS, ang attribute ng grupong aktuwal na ibinalik, ang FortiGate server at ang halagang inihambing dito, at ang resultang lokal na grupo. Ang apat na talaang iyon ay tumutukoy sa pinagmulan ng pagkasira nang hindi inilalantad ang mga password o binabago ang pagiging miyembro ng grupo para makita ang mangyayari.

Subukan ang isang awtorisadong account at isang account na labas sa saklaw sa ilalim ng tunay na panuntunan, at suriin ang resultang patakaran at access sa resource gayundin ang resulta ng pagpapatunay. Ang pares lang ang magsasabi kung ginagawa ng pagtutugma ang inaakala mo.