VPN FortiGate rơi vào nhóm sai: đối chiếu RADIUS

Đăng nhập thành công, đường hầm được dựng lên và người dùng rơi vào chính sách sai hoặc không vào chính sách nào. Không có gì trong nhật ký FortiGate thông báo rằng nhóm bị thiếu, vì phía nó xác thực đã chạy và việc đối chiếu nhóm đơn giản là không kích hoạt. Chuỗi cần kiểm tra chứa ba tên riêng biệt, và thông thường chúng không phải cùng một chuỗi.

Ba tên với ba nhiệm vụ

Ghi cả ba trước khi chạm vào bất kỳ cấu hình nào, vì hai trong số đó nằm trên các hệ thống khác nhau.

Nhóm thư mục là thứ mà chính sách RADIUS của bạn đánh giá. Thuộc tính trả về là một giá trị bên trong phản hồi Access-Accept. Nhóm cục bộ FortiGate là một vùng chứa mà chính sách tham chiếu theo tên. Nhầm lẫn hai trong số đó tạo ra đăng nhập hoạt động và ủy quyền không hoạt động.

Việc đối chiếu thực sự diễn ra ở đâu

Tài liệu của Fortinet về cách đối chiếu nhóm RADIUS nêu Fortinet-Group-Name là thuộc tính nhóm mặc định. FortiGate so sánh máy chủ từ xa đã cấu hình và giá trị tên nhóm với những gì phản hồi mang theo, nghĩa là so sánh với chuỗi được trả về, không phải với nhãn hiển thị của nhóm cục bộ.

Đó là lý do một nhóm cục bộ tên VPN-Engineering có thể nằm cạnh giá trị trả về vpn-engineering mà không khớp gì cả. Chữ hoa chữ thường và cách viết không phải chuyện thẩm mỹ trong phép so sánh này. Chọn một chuỗi, dùng nó trong phản hồi và tham chiếu đúng chuỗi đó trong quy tắc đối chiếu của cổng.

Trên FortiAuthenticator, nhóm phải được liên kết với thuộc tính và đưa vào chính sách dịch vụ RADIUS tương ứng, với điều khiển trả về thuộc tính nhóm được bật khi áp dụng.

Phản hồi có thể thành công mà không có thuộc tính

Với NPS hoặc máy chủ RADIUS khác, hãy áp đặt điều kiện nhóm thư mục trong chính sách rồi cấu hình thuộc tính phản hồi được hỗ trợ. Một lần kiểm tra mật khẩu thành công tự nó tạo ra Access-Accept, và Access-Accept không có chuỗi nhóm là phản hồi hoàn toàn hợp lệ và không ủy quyền gì ở phía FortiGate. Đây là dạng phổ biến nhất của vấn đề.

Định nghĩa một nhóm không giống như gửi nó đi. Đó là hai bước cấu hình trên hai màn hình khác nhau, và thường chỉ một trong hai được làm.

Vì sao đối chiếu với Any là cái bẫy

Đối chiếu nhóm từ xa Any là thiết kế hợp lý khi máy chủ RADIUS đã chấp nhận đúng tập hợp bạn muốn. Hãy chọn sự ủy thác đó một cách có chủ đích. Mở rộng đối chiếu để một thuộc tính thiếu biến mất sẽ chấp nhận mọi tài khoản mà máy chủ RADIUS tình cờ chấp nhận, kể cả những tài khoản chưa bao giờ được dự kiến có quyền truy cập VPN. Triệu chứng biến mất và kiểm soát truy cập lặng lẽ không còn tồn tại.

Nếu bạn không thể nêu tên ai mà máy chủ RADIUS phải chấp nhận, bạn chưa sẵn sàng cho đối chiếu Any.

Giữ bốn bản ghi để hỗ trợ

Khi vẫn không hoạt động, hãy thu thập bốn thứ: chính sách RADIUS đã chọn, thuộc tính nhóm thực sự được trả về, máy chủ FortiGate và giá trị đã đối chiếu, và nhóm cục bộ thu được. Bốn bản ghi đó định vị chỗ đứt mà không lộ mật khẩu hay thay đổi tư cách thành viên nhóm để xem điều gì xảy ra.

Thử một tài khoản được cấp quyền và một tài khoản ngoài phạm vi theo quy tắc thật, rồi kiểm tra chính sách và quyền truy cập tài nguyên thu được cũng như kết quả xác thực. Chỉ cặp đó cho bạn biết việc đối chiếu có làm đúng như bạn nghĩ không.