FortiGate VPN noto‘g‘ri guruhga tushadi: RADIUS moslashtiruvi
Fortinet-Group-Name javob bilan solishtiriladi, mahalliy guruh yorlig‘ingiz bilan emas. Moslashtirishni Any ga kengaytirishdan oldin uchta nomni tekshiring.
Kirish muvaffaqiyatli bo‘ladi, tunnel ko‘tariladi va foydalanuvchi noto‘g‘ri siyosatga yoki umuman hech qanday siyosatga tushmaydi. FortiGate jurnalida guruh yo‘qligi haqida hech narsa e’lon qilinmaydi, chunki uning tomonida autentifikatsiya ishladi va guruh moslashtiruvi shunchaki ishga tushmadi. Tekshirishingiz kerak bo‘lgan zanjirda uchta alohida nom bor va ular odatda bir xil satr emas.
Uch vazifali uch nom
Har qanday konfiguratsiyaga tegishdan oldin uchtasini ham yozib qo‘ying, chunki ulardan ikkitasi turli tizimlarda yashaydi.
| Record | Illustrative value |
|---|---|
| Directory membership checked by the RADIUS policy | Engineering VPN users |
| Returned Fortinet-Group-Name string | vpn-engineering |
| FortiGate local access group | VPN-Engineering |
Katalog guruhi — RADIUS siyosatingiz baholaydigan narsa. Qaytarilgan atribut — Access-Accept javobi ichidagi qiymat. FortiGate mahalliy guruhi — siyosat nomi bilan murojaat qiladigan konteyner. Ulardan istalgan ikkitasini aralashtirish ishlaydigan kirish va ishlamaydigan ruxsatni keltirib chiqaradi.
Moslashtirish aslida qayerda amalga oshiriladi
Fortinetning RADIUS guruhlarini moslashtirish izohi Fortinet-Group-Name ni standart guruh atributi sifatida ko‘rsatadi. FortiGate sozlangan masofaviy serverni va guruh nomi qiymatini javob olib yurgan narsa bilan solishtiradi, ya’ni solishtirish qaytarilgan satr bilan, mahalliy guruhning ko‘rsatilgan yorlig‘i bilan emas.
Shuning uchun VPN-Engineering nomli mahalliy guruh vpn-engineering sifatida qaytarilgan qiymat yonida turishi va hech narsaga mos kelmasligi mumkin. Bu solishtirishda katta-kichik harf va imlo bezak emas. Bitta satrni tanlang, uni javobda ishlating va shlyuzning moslashtirish qoidasida o‘sha satrga murojaat qiling.
FortiAuthenticator da guruh atribut bilan bog‘lanishi va tegishli RADIUS xizmat siyosatiga kiritilishi kerak, tegishli joylarda guruh atributini qaytarish boshqaruvi yoqilgan holda.
Javob atributsiz ham muvaffaqiyatli bo‘lishi mumkin
NPS yoki boshqa RADIUS serveri uchun siyosatda katalog guruhi shartini qo‘llang va keyin qo‘llab-quvvatlanadigan javob atributini sozlang. Muvaffaqiyatli parol tekshiruvi o‘z-o‘zidan Access-Accept yaratadi va guruh satrisiz Access-Accept FortiGate tomonida hech narsani ruxsatlamaydigan mutlaqo haqiqiy javobdir. Muammoning eng keng tarqalgan shakli shu.
Guruhni belgilash uni yuborish bilan bir xil emas. Bu ikki xil ekranda ikki konfiguratsiya qadami va odatda ulardan faqat bittasi bajariladi.
Nega Any bilan moslashtirish tuzoq
Any masofaviy guruh moslashtiruvi RADIUS serveri allaqachon siz xohlagan aholini qabul qilsa, qonuniy dizayn. Bu vakolatni ataylab tanlang. Yo‘q atributdan qutulish uchun moslashtirishni kengaytirish RADIUS serveri tasodifan qabul qiladigan har bir hisobni kiritadi, jumladan hech qachon VPN kirish uchun mo‘ljallanmaganlarini ham. Alomat yo‘qoladi va kirish nazorati jimgina mavjud bo‘lishdan to‘xtaydi.
Agar RADIUS serveri kimni qabul qilishi kerakligini ayta olmasangiz, Any moslashtiruviga tayyor emassiz.
Qo‘llab-quvvatlash uchun to‘rtta yozuv saqlang
Hali ham ishlamasa, to‘rtta narsani to‘plang: tanlangan RADIUS siyosati, haqiqatda qaytarilgan guruh atributi, solishtirilgan FortiGate serveri va qiymati, hamda natijada hosil bo‘lgan mahalliy guruh. Bu to‘rt yozuv parollarni oshkor qilmasdan va nima bo‘lishini ko‘rish uchun guruh a’zoligini o‘zgartirmasdan uzilish joyini aniqlaydi.
Haqiqiy qoida ostida bitta ruxsat etilgan va bitta doiradan tashqari hisobni sinab ko‘ring, autentifikatsiya natijasi bilan birga natijaviy siyosat va resurslarga kirishni ham tekshiring. Faqat shu juftlik moslashtirish siz o‘ylagandek ishlayotganini aytadi.