Bir kullanıcıyı VPN grubuna eklemek tek başına erişim vermez
Grup üyeliği bir koşuldur, izin değildir. Ağ geçidinin gerçekte neyi eşleştirdiğine bakın, kabul veya ret kaydını okuyun ve iki sonucu da test edin.
Hesap doğru grupta, oturum açma başarılı, ama bağlantı yine reddediliyor ya da işe yarar bir yere ulaşmıyor. Grup eklemek biletin istediğinden fazlasını verir. Üyelik tek bir girdidir, karar değil: ağ geçidi olguları sıralı ilkeyle eşleştirir ve ancak sonra karar verir. Başka bir koşul düştüyse grup yalnızca maruziyeti değiştirir.
Grup üyeliği koşuldur, izin değildir
RADIUS’ta grup bir yetkilendirme özniteliğidir ve oturumu tanımlar, izin vermez. Sunucu Access-Accept veya Access-Reject yanıtlar ve Filter-Id, Class ya da RFC 2868 tünel özniteliklerini ekleyebilir. Hiçbir şey grubu tam erişime eşlemez; bu eşlemeyi ilkeyi kuran yazar.
Bu yüzden aynı grup adı iki sistemde farklı davranır. Microsoft NPS ilkeleri koşul, kısıt ve ayarlardan kurar ve belirli sırayla değerlendirir. OpenVPN Access Server’ın kendi modeli vardır; topluluk sunucusu çoğu zaman her şeyi client-connect veya client-config-dir’e bırakır.
Kararı eşleşen kural verir, beklediğiniz grup değil
Çoğu motor ilk eşleşen ilkede ya da en özel olanda durur. İlke 3 reddeder, ilke 7 izin verirse oturum geçmesine izin verecek kurala ulaşmadan başarısız olabilir.
Gruba eşlik eden koşullar diğer yarıdır: cihaz durumu, kimlik doğrulama yöntemi, tamamlanmış MFA, kaynak ağ, sertifika konusu veya zaman aralığı. Biri eksikse ilke eşleşmez ve varsayılan ret geçerlidir.
Dizin ayrıntıları aynı yanılsamayı yaratır. Windows grup üyeliğine bakan ilke belirteçteki SID’leri okur; orada yalnızca güvenlik grupları listelenir, dağıtım grubu asla görünmez.
Bir gruba dokunmadan önce kabul veya ret kaydını okuyun
Önce tek soru: istek yetkilendirme aşamasına ulaştı mı? NPS’te 6272 verilen erişimi, 6273 reddi, 6274 ise ilke değerlendirmesinden önce atılan isteği kaydeder. Bu üç sayı sorunu üç ayrı soruşturmaya böler, yalnızca biri gruplarla ilgilidir.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Günlüğe ulaşılamıyorsa sunucuya doğrudan sorun ve yanıtı okuyun. Filter-Id ve tünel özniteliği yoksa sunucu oturumu olağan sayar ve ağ geçidi kendi kurallarını uygular.
radtest alice 'password' 10.0.0.5 0 testing123Dönen öznitelikleri ağ geçidinin belgelediğiyle karşılaştırın, grup adının ima ettiğiyle değil. Bu, ilke sorununu uygulama sorunundan ayırır.
Grup değişikliği geriye işlemez
Yetkilendirme öznitelikleri oturum doğrulanırken bir kez döner. Ağ geçidi bunları oturumda tutar ve her paket için dizini yeniden okumaz; bu yüzden kurulu oturum, kişi gruptan çıkarıldıktan sonra da çalışır.
Değişikliğin işlemesi için yeni bir yetkilendirme kararı gerekir, yalnızca yeni anahtarlar değil. Sunucu RFC 5176 destekliyorsa UDP 3799’a Disconnect-Request veya CoA-Request yeniden değerlendirmeyi zorlar; yoksa istemciyi ayırıp yeniden bağlanmasına izin verin.
Koşulu düzeltin, grubu değil
Hangi ilkenin devreye girdiğini bilince onarım genelde küçüktür: istenen izni gölgeleyen reddi yeniden sıralayın, eksik cihaz veya MFA koşulunu ekleyin ya da kullanıcıyı on başka yetki taşıyan gruba yükseltmek yerine tek kaynak için dar kural yazın.
Kısa döngü değişikliği dürüst tutar:
- Reddi özgün hesapla yeniden üretin ve herhangi bir şeyi değiştirmeden önce olay ID’sini yazın.
- Tek nesne değiştirin: ilke sırası, tek koşul veya tek grup; hangisi olduğunu kaydedin.
- Yeni oturum açın, iznin günlükte göründüğünü ve kaynağın gerçekten açıldığını doğrulayın.
- Hâlâ reddedilmesi gereken bir kullanıcıyı test edin; onarım ilkeyi yanlışlıkla genişletmemiş olsun.
İzin doğruysa ve kaynak yine açılmıyorsa, yetkilendirme geçtiği anda sorun yönlendirmeye veya ad çözümlemesine kaymıştır. İki arızayı ayrı tutun; sonraki bilet dakikalar sürer.