Bakit walang ginagawa ang RADIUS VLAN na tugon para sa isang VPN user

Idinadagdag mo ang VLAN attribute sa NPS policy, kumokonekta ang VPN user, at sa default pool pa rin bumabagsak ang laptop. Ibinabalik ng RADIUS server ang hiniling mo, kaya mukhang cache problem ang pagkabigo. Karaniwang hindi. Ang Access-Accept ay may dalang mga pahiwatig ng awtorisasyon, at tanging ang network access server na tumanggap sa mga ito ang makakagawa ng isa bilang network assignment.

Magsimula sa gateway, hindi sa policy

Sundan ang chain mula sa client pakanloob bago magbago ng kahit ano. Humihingi ang client ng session sa gateway, tinatanong ng gateway ang RADIUS kung maaaring magkaroon ang user, at sumasagot ang RADIUS ng resulta at isang set ng attribute. Pagkatapos, ipinapataw ng gateway ang alam nitong ipataw.

Nagsisimula ang iyong pagsusuri sa ikaapat na hakbang, kaya mukhang maayos ang unang tatlo. Wala sa palitan ang nagpipilit sa gateway na ipatupad ang attribute na natanggap nito. Ang tugon ay kahilingan sa gateway, hindi katotohanan tungkol sa client.

Ang ginagawa ng switch at hindi kaya ng VPN

Ang 802.1X access switch ay isang authenticator na may mga port, at inililipat ng dynamic na VLAN assignment ang isa sa mga port na iyon sa VLAN na dinadala na ng switch. Inilalarawan ng RADIUS tunnel attributes ang layuning iyon sa paraang nauunawaan ng switch. Ang routed VPN ay nagtatapos ng tunnel, hindi ng switch port, at karaniwang nakakakuha ang mga client nito ng address at route sa halip na pagiging miyembro ng broadcast domain. Walang port na ililipat, kaya walang maaapektuhan ang parehong attribute.

Ito ay pagkakaiba ng modelo, hindi bug ng vendor. Nagdadagdag ang ilang gateway ng sarili nilang group policy, pagpili ng pool o mekanismo ng filter na mukhang pareho sa screenshot. Ang iba ay wala ni isa sa mga ito, at ang attribute ay naka-log at binabalewala. Basahin ang dokumentasyon para sa remote-access mode na aktwal mong pinagana, hindi ang nasa screenshot.

Basahin ang tugon na aktwal na ipinadala ng server

Kumpirmahin ang ibinalik ng RADIUS sa halip na ang ipinapakita ng policy editor. Ang test request na may parehong username at kilalang password ay nagpi-print ng response attributes sa nababasang anyo, at ito ay lumulutas ng tanong sa isang hakbang.

radtest alice secret 10.0.0.10 0 testing123

Kung wala ang VLAN attributes sa tugon na iyon, ayusin muna ang policy match. Kung naroon, nagawa na ng server ang bahagi nito, at ang agwat ay nasa ibaba.

Patunayan muna ang session policy, pagkatapos ang abot

Ngayon tingnan ang session na binuo ng gateway. Ipinapakita ng listahan ng active session ang pool, ang itinalagang address at anumang group policy na ikinabit ng gateway, at iyon lang ang ebidensiyang mahalaga para sa enforcement. Ihambing ito sa kayang maabot ng user, hindi sa intensyon ng policy.

swanctl --list-sas

Pagkatapos, subukan mula sa client ang isang pinapayagan at isang tinatanggihan na resource, dahil hindi nagpapatunay ng isolation ang address mula sa tamang pool. Kung walang mekanismo ang gateway para sa assignment na gusto mo, hindi ito malilikha ng mas maraming kopya ng attribute. Ang address mula sa inaasahang pool ay maaaring umiral kasabay ng buong access sa bawat ibang pool. Pumili ng suportadong policy mechanism o sadyang baguhin ang disenyo ng network.