FortiGate VPN غلط گروپ میں پہنچتا ہے: RADIUS مماثلت
Fortinet-Group-Name جواب سے مماثل کیا جاتا ہے، آپ کے مقامی گروپ لیبل سے نہیں۔ مماثلت کو Any تک بڑھانے سے پہلے تینوں نام جانچیں۔
لاگ ان کامیاب ہوتا ہے، ٹنل اوپر آتا ہے، اور صارف غلط پالیسی یا کسی بھی پالیسی میں نہیں پہنچتا۔ FortiGate لاگ میں کچھ بھی یہ نہیں بتاتا کہ گروپ غائب تھا، کیونکہ اس کی طرف سے توثیق کام کر گئی اور گروپ مماثلت بس فعال ہی نہیں ہوئی۔ جس زنجیر کا آپ کو جائزہ لینا ہے اس میں تین الگ نام ہیں، اور عام طور پر وہ ایک ہی سٹرنگ نہیں ہوتے۔
تین کاموں والے تین نام
کسی بھی ترتیب کو چھونے سے پہلے تینوں لکھ لیں، کیونکہ ان میں سے دو مختلف نظاموں میں رہتے ہیں۔
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
ڈائریکٹری گروپ وہ ہے جس کا آپ کی RADIUS پالیسی جائزہ لیتی ہے۔ واپس کیا گیا صفت Access-Accept جواب کے اندر ایک قدر ہے۔ FortiGate مقامی گروپ ایک کنٹینر ہے جس کا پالیسی نام سے حوالہ دیتی ہے۔ ان میں سے کسی بھی دو کو ملا دینے سے ایسا لاگ ان بنتا ہے جو کام کرتا ہے اور ایسی اجازت جو کام نہیں کرتی۔
مماثلت دراصل کہاں ہوتی ہے
Fortinet کی RADIUS گروپ مماثلت کی وضاحت Fortinet-Group-Name کو طے شدہ گروپ صفت بتاتی ہے۔ FortiGate ترتیب شدہ ریموٹ سرور اور گروپ نام کی قدر کا موازنہ اس سے کرتا ہے جو جواب میں ہے، یعنی موازنہ واپس کی گئی سٹرنگ سے ہے، آپ کے مقامی گروپ کے دکھائے جانے والے لیبل سے نہیں۔
اسی لیے VPN-Engineering نام کا مقامی گروپ vpn-engineering کے طور پر واپس کی گئی قدر کے ساتھ بیٹھ سکتا ہے اور کچھ بھی مماثل نہیں ہوتا۔ اس موازنے میں حروف کا بڑا چھوٹا ہونا اور ہجے آرائشی نہیں ہیں۔ ایک سٹرنگ منتخب کریں، اسے جواب میں استعمال کریں، اور گیٹ وے کے مماثلت کے قاعدے میں اسی سٹرنگ کا حوالہ دیں۔
FortiAuthenticator پر گروپ کو صفت سے منسلک کرنا اور متعلقہ RADIUS سروس پالیسی میں شامل کرنا ضروری ہے، جہاں لاگو ہو وہاں گروپ صفت واپس کرنے کا کنٹرول فعال رکھتے ہوئے۔
جواب صفت کے بغیر بھی کامیاب ہو سکتا ہے
NPS یا کسی اور RADIUS سرور کے لیے، پالیسی میں ڈائریکٹری گروپ کی شرط نافذ کریں اور پھر معاون جواب صفت ترتیب دیں۔ کامیاب پاس ورڈ جانچ خود ہی ایک Access-Accept پیدا کرتی ہے، اور گروپ سٹرنگ کے بغیر Access-Accept مکمل طور پر درست جواب ہے جو FortiGate کی طرف کچھ بھی اجازت نہیں دیتا۔ مسئلے کی یہی سب سے عام شکل ہے۔
گروپ کی تعریف کرنا اسے بھیجنے کے مترادف نہیں۔ یہ دو مختلف اسکرینوں پر دو ترتیب کے مراحل ہیں، اور عام طور پر ان میں سے صرف ایک کیا جاتا ہے۔
Any کے ساتھ مماثلت ایک جال کیوں ہے
Any ریموٹ گروپ مماثلت ایک جائز ڈیزائن ہے جب RADIUS سرور پہلے ہی بالکل وہی آبادی قبول کرتا ہو جو آپ چاہتے ہیں۔ اس تفویض کو جان بوجھ کر منتخب کریں۔ غائب صفت کو ختم کرنے کے لیے مماثلت کو بڑھانا ہر اس اکاؤنٹ کو اندر لے آتا ہے جو RADIUS سرور اتفاقاً قبول کرتا ہے، ان کو بھی شامل کر کے جن کے لیے کبھی VPN رسائی کا ارادہ نہیں تھا۔ علامت ختم ہو جاتی ہے اور رسائی کنٹرول خاموشی سے موجود نہیں رہتا۔
اگر آپ نام نہیں بتا سکتے کہ RADIUS سرور کو کسے قبول کرنا چاہیے، تو آپ Any مماثلت کے لیے تیار نہیں۔
معاونت کے لیے چار ریکارڈ رکھیں
جب پھر بھی کام نہ ہو، چار چیزیں جمع کریں: منتخب کردہ RADIUS پالیسی، واقعی واپس کی گئی گروپ صفت، جس FortiGate سرور اور قدر سے موازنہ ہوا، اور نتیجے میں بننے والا مقامی گروپ۔ یہ چار ریکارڈ پاس ورڈ ظاہر کیے بغیر اور گروپ رکنیت بدلے بغیر یہ دیکھنے کے لیے کہ کیا ہوتا ہے، خرابی کی جگہ تلاش کرتے ہیں۔
اصل قاعدے کے تحت ایک مجاز اور ایک دائرے سے باہر اکاؤنٹ آزمائیں، اور توثیق کے نتیجے کے ساتھ ساتھ نتیجے میں بننے والی پالیسی اور وسائل تک رسائی بھی جانچیں۔ صرف یہی جوڑی بتاتی ہے کہ مماثلت وہی کر رہی ہے جو آپ سوچتے ہیں۔