RADIUS VLAN yanıtı bir VPN kullanıcısı için neden hiçbir şey yapmaz

VLAN özniteliğini NPS ilkesine eklersiniz, VPN kullanıcısı bağlanır ve dizüstü bilgisayar yine varsayılan havuzda kalır. RADIUS sunucusu istediğinizi döndürür, bu da hatayı önbellek sorunu gibi gösterir. Genellikle değildir. Access-Accept yetkilendirme ipuçları taşır ve bunları alan ağ erişim sunucusu ancak birini ağ atamasına dönüştürebilir.

İlkeden değil, ağ geçidinden başlayın

Bir şeyi değiştirmeden önce zinciri istemciden içeri doğru izleyin. İstemci ağ geçidinden bir oturum ister, ağ geçidi kullanıcının bir oturum alıp alamayacağını RADIUS'a sorar ve RADIUS bir sonuç ile bir dizi öznitelikle yanıtlar. Ardından ağ geçidi nasıl uygulanacağını bildiğini uygular.

İncelemeniz dördüncü adımda başlar, bu yüzden ilk üç adım sağlıklı görünür. Alışverişte hiçbir şey ağ geçidini aldığı özniteliği uygulamaya zorlamaz. Yanıt ağ geçidine bir istektir, istemci hakkında bir gerçek değildir.

Anahtarın yaptığı ve VPN'in yapamadığı

802.1X erişim anahtarı portları olan bir kimlik doğrulayıcıdır ve dinamik VLAN ataması bu portlardan birini anahtarın zaten taşıdığı bir VLAN'a taşır. RADIUS tünel öznitelikleri bu niyeti anahtarın anlayacağı biçimde tanımlar. Yönlendirilmiş VPN tünelleri sonlandırır, anahtar portlarını değil, ve istemcileri genellikle yayın alanı üyeliği yerine bir adres ve rota alır. Taşınacak port yoktur, bu yüzden aynı özniteliğin etki edeceği bir şey yoktur.

Bu bir model farkıdır, satıcı hatası değildir. Bazı ağ geçitleri ekran görüntüsünde benzer görünen kendi grup ilkelerini, havuz seçimini veya filtre mekanizmasını ekler. Diğerleri bunların hiçbirini uygulamaz ve öznitelik günlüğe yazılıp yok sayılır. Ekran görüntüsündekini değil, gerçekten etkinleştirdiğiniz uzaktan erişim kipinin belgelerini okuyun.

Sunucunun gerçekte gönderdiği yanıtı okuyun

İlke düzenleyicisinin gösterdiğini değil, RADIUS'un ne döndürdüğünü doğrulayın. Aynı kullanıcı adı ve bilinen bir parolayla yapılan test isteği yanıt özniteliklerini okunabilir biçimde yazdırır ve bu soruyu tek adımda çözer.

radtest alice secret 10.0.0.10 0 testing123

VLAN öznitelikleri o yanıtta yoksa önce ilke eşleşmesini düzeltin. Varsa sunucu kendi payını yapmıştır ve boşluk aşağıdadır.

Önce oturum ilkesini, sonra erişilebilirliği kanıtlayın

Şimdi ağ geçidinin kurduğu oturuma bakın. Etkin oturum listesi havuzu, atanan adresi ve ağ geçidinin eklediği herhangi bir grup ilkesini gösterir ve uygulama için önemli olan tek kanıt budur. Bunu ilkenin amaçladığıyla değil, kullanıcının erişebildiğiyle karşılaştırın.

swanctl --list-sas

Ardından istemciden izin verilen bir ve reddedilen bir kaynağı test edin, çünkü doğru havuzdan gelen bir adres yalıtımı kanıtlamaz. Ağ geçidinin istediğiniz atama için bir mekanizması yoksa özniteliğin daha fazla kopyası bir tane oluşturmaz. Beklenen havuzdan gelen bir adres diğer her havuza tam erişimle birlikte var olabilir. Desteklenen bir ilke mekanizması seçin veya ağ tasarımını bilerek değiştirin.