Thêm người dùng vào nhóm VPN không tự nó cấp quyền truy cập
Tư cách thành viên nhóm là một điều kiện, không phải quyền. Xem cổng thực sự khớp gì, đọc bản ghi chấp nhận hoặc từ chối và thử cả hai kết quả.
Tài khoản nằm trong nhóm đúng, đăng nhập thành công, nhưng kết nối vẫn bị từ chối hoặc không tới được gì hữu ích. Thêm nhóm chỉ cho nhiều hơn yêu cầu. Tư cách thành viên là một đầu vào, không phải quyết định: cổng thu thập dữ kiện, đối chiếu với chính sách có thứ tự rồi mới quyết định. Nếu điều kiện khác thất bại, đổi nhóm chỉ đổi mức phơi bày.
Tư cách thành viên nhóm là điều kiện, không phải quyền
Trong RADIUS nhóm đến như thuộc tính cấp quyền, và thuộc tính mô tả phiên chứ không cấp quyền. Máy chủ trả Access-Accept hoặc Access-Reject và có thể gắn Filter-Id, Class hoặc thuộc tính đường hầm từ RFC 2868. Không có gì ánh xạ nhóm thành toàn quyền; ánh xạ đó do người đặt chính sách viết.
Vì vậy cùng một tên nhóm hành xử khác nhau trên hai hệ thống. Microsoft NPS dựng chính sách từ điều kiện, ràng buộc và thiết lập rồi đánh giá theo thứ tự. OpenVPN Access Server có mô hình riêng, còn máy chủ cộng đồng thường giao tất cả cho client-connect hoặc client-config-dir.
Quy tắc khớp mới quyết định, không phải nhóm bạn mong đợi
Phần lớn engine dừng ở chính sách khớp đầu tiên hoặc cụ thể nhất. Nếu chính sách 3 từ chối và chính sách 7 cho phép, phiên có thể hỏng trước khi tới quy tắc cho qua.
Các điều kiện đi kèm nhóm là nửa còn lại: trạng thái thiết bị, cách xác thực, MFA đã xong, mạng nguồn, chủ thể chứng chỉ hoặc khung giờ. Thiếu một điều thì chính sách không khớp và áp dụng từ chối mặc định.
Chi tiết thư mục tạo cùng ảo giác. Chính sách theo nhóm Windows đọc SID trong token, nơi chỉ liệt kê nhóm bảo mật; nhóm phân phối không bao giờ xuất hiện.
Đọc bản ghi chấp nhận hoặc từ chối trước khi chạm vào nhóm
Hỏi trước một điều: yêu cầu có tới bước cấp quyền không? Trên NPS, 6272 ghi quyền được cấp, 6273 ghi từ chối và 6274 ghi yêu cầu bị bỏ trước khi đánh giá. Ba con số chia vấn đề thành ba cuộc điều tra, chỉ một liên quan tới nhóm.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Khi không lấy được nhật ký, hỏi thẳng máy chủ và đọc phản hồi. Không có Filter-Id và thuộc tính đường hầm nghĩa là máy chủ coi phiên bình thường và cổng tự áp quy tắc.
radtest alice 'password' 10.0.0.5 0 testing123So thuộc tính trả về với những gì cổng ghi tài liệu, không phải với điều tên nhóm gợi ý. Cách so này tách vấn đề chính sách khỏi vấn đề thực thi.
Đổi nhóm không có hiệu lực hồi tố
Thuộc tính cấp quyền chỉ trả về một lần khi xác thực phiên. Cổng lưu chúng trên phiên và không đọc lại thư mục cho từng gói, nên phiên đã lập vẫn chạy sau khi ai đó bị bỏ khỏi nhóm.
Muốn thay đổi có hiệu lực cần quyết định cấp quyền mới, không chỉ khóa mới. Nếu máy chủ hỗ trợ RFC 5176, Disconnect-Request hoặc CoA-Request tới UDP 3799 buộc đánh giá lại; nếu không, ngắt kết nối và để máy khách nối lại.
Sửa điều kiện, không sửa nhóm
Khi biết chính sách nào kích hoạt, sửa thường nhỏ: sắp lại từ chối che mất quyền mong muốn, thêm điều kiện thiết bị hoặc MFA còn thiếu, hoặc viết quy tắc hẹp cho một tài nguyên.
Vòng ngắn giữ thay đổi trung thực:
- Tái hiện từ chối bằng tài khoản gốc và ghi ID sự kiện trước khi đổi bất cứ điều gì.
- Chỉ đổi một đối tượng, thứ tự chính sách, một điều kiện hoặc một nhóm, và ghi lại cái nào.
- Mở phiên mới, xác nhận quyền xuất hiện trong nhật ký và tài nguyên thực sự mở.
- Thử người dùng vẫn phải bị từ chối, để bản sửa không nới rộng chính sách.
Nếu quyền đúng mà tài nguyên vẫn không mở, vấn đề đã chuyển sang định tuyến hoặc phân giải tên ngay khi cấp quyền thành công. Tách hai lỗi và phiếu sau chỉ mất vài phút.