FortiGate VPN yanlış gruba düşüyor: RADIUS eşleştirmesi

Oturum açma başarılı olur, tünel açılır ve kullanıcı yanlış ilkeye ya da hiçbir ilkeye düşer. FortiGate günlüğünde grup eksikti diye hiçbir şey duyurmaz, çünkü kendi tarafında kimlik doğrulama çalışmış ve grup eşleştirmesi yalnızca tetiklenmemiştir. İncelemeniz gereken zincir üç ayrı ad içerir ve bunlar genellikle aynı dize değildir.

Üç görevli üç ad

Herhangi bir yapılandırmaya dokunmadan önce üçünü de yazın, çünkü ikisi farklı sistemlerde yaşar.

Dizin grubu, RADIUS ilkenizin değerlendirdiği şeydir. Döndürülen öznitelik, Access-Accept yanıtının içindeki bir değerdir. FortiGate yerel grubu, ilkenin adıyla başvurduğu bir kapsayıcıdır. Bunlardan herhangi ikisini karıştırmak, çalışan bir oturum açma ve çalışmayan bir yetkilendirme üretir.

Eşleştirme gerçekte nerede yapılır

Fortinet'in RADIUS grup eşleştirme açıklaması Fortinet-Group-Name öğesini varsayılan grup özniteliği olarak belirtir. FortiGate, yapılandırılmış uzak sunucuyu ve grup adı değerini yanıtın taşıdığı şeyle karşılaştırır, yani karşılaştırma döndürülen dizeye karşı yapılır, yerel grubunuzun görünen etiketine karşı değil.

Bu yüzden VPN-Engineering adlı yerel bir grup vpn-engineering olarak döndürülen değerin yanında durabilir ve hiçbir şeyle eşleşmeyebilir. Bu karşılaştırmada büyük-küçük harf ve yazım kozmetik değildir. Bir dize seçin, yanıtta kullanın ve ağ geçidinin eşleştirme kuralında aynı dizeye başvurun.

FortiAuthenticator'da grup özniteliğe bağlanmalı ve eşleşen RADIUS hizmet ilkesine dahil edilmeli, uygulanabildiğinde grup özniteliği döndürme denetimi etkin olmalıdır.

Yanıt öznitelik olmadan da başarılı olabilir

NPS veya başka bir RADIUS sunucusu için ilkede dizin grubu koşulunu zorunlu kılın ve ardından desteklenen yanıt özniteliğini yapılandırın. Başarılı bir parola denetimi kendi başına bir Access-Accept üretir ve grup dizesi olmayan bir Access-Accept, FortiGate tarafında hiçbir şeyi yetkilendirmeyen tamamen geçerli bir yanıttır. Bu, sorunun en yaygın biçimidir.

Bir grubu tanımlamak onu göndermekle aynı şey değildir. Bunlar iki farklı ekranda iki yapılandırma adımıdır ve genellikle yalnızca biri yapılır.

Any ile eşleştirme neden bir tuzak

Any uzak grup eşleştirmesi, RADIUS sunucusu istediğiniz kitleyi zaten tam olarak kabul ediyorsa meşru bir tasarımdır. Bu yetkilendirmeyi bilerek seçin. Eksik bir özniteliği ortadan kaldırmak için eşleştirmeyi genişletmek, RADIUS sunucusunun kabul ettiği her hesabı, VPN erişimi hiç düşünülmemiş olanlar dahil, içeri alır. Belirti kaybolur ve erişim denetimi sessizce var olmaktan çıkar.

RADIUS sunucusunun kimi kabul etmesi gerektiğini adlandıramıyorsanız, bir Any eşleştirmesi için hazır değilsiniz.

Destek için dört kayıt tutun

Hâlâ çalışmıyorsa dört şey toplayın: seçilen RADIUS ilkesi, gerçekte döndürülen grup özniteliği, eşleştirildiği FortiGate sunucusu ve değeri, ve ortaya çıkan yerel grup. Bu dört kayıt, parolaları açığa çıkarmadan ve ne olduğunu görmek için grup üyeliğini değiştirmeden kırılma noktasını bulur.

Gerçek kural altında bir yetkili ve bir kapsam dışı hesabı test edin ve kimlik doğrulama sonucunun yanı sıra ortaya çıkan ilkeyi ve kaynak erişimini de kontrol edin. Yalnızca bu çift, eşleştirmenin düşündüğünüzü yapıp yapmadığını söyler.