Vì sao phản hồi RADIUS VLAN không làm gì cho người dùng VPN

Bạn thêm thuộc tính VLAN vào chính sách NPS, người dùng VPN kết nối, và máy tính xách tay vẫn rơi vào nhóm mặc định. Máy chủ RADIUS trả về đúng thứ bạn yêu cầu, khiến lỗi trông giống vấn đề bộ nhớ đệm. Thường thì không phải. Access-Accept mang theo gợi ý ủy quyền, và chỉ máy chủ truy cập mạng đã nhận chúng mới có thể biến một gợi ý thành một phép gán mạng.

Bắt đầu từ cổng kết nối, không phải từ chính sách

Đi theo chuỗi từ máy khách vào trong trước khi thay đổi bất cứ điều gì. Máy khách yêu cầu cổng kết nối cấp một phiên, cổng kết nối hỏi RADIUS xem người dùng có được cấp không, và RADIUS trả lời bằng một kết quả cùng một tập thuộc tính. Sau đó cổng kết nối áp dụng những gì nó biết cách áp dụng.

Quá trình kiểm tra của bạn bắt đầu ở bước thứ tư, vì vậy ba bước đầu trông khỏe mạnh. Không có gì trong trao đổi buộc cổng kết nối phải triển khai một thuộc tính mà nó nhận được. Phản hồi là một yêu cầu gửi tới cổng kết nối, không phải sự thật về máy khách.

Điều bộ chuyển mạch làm được và VPN không thể

Bộ chuyển mạch truy cập 802.1X là bộ xác thực có các cổng, và việc gán VLAN động chuyển một trong các cổng đó vào một VLAN mà bộ chuyển mạch đã mang. Các thuộc tính đường hầm RADIUS mô tả ý định đó ở dạng bộ chuyển mạch hiểu được. VPN định tuyến kết thúc đường hầm, không phải cổng chuyển mạch, và các máy khách của nó thường nhận địa chỉ và tuyến thay vì tư cách thành viên trong miền quảng bá. Không có cổng nào để chuyển, nên cùng thuộc tính đó không có gì để tác động.

Đây là khác biệt về mô hình, không phải lỗi của nhà cung cấp. Một số cổng kết nối thêm chính sách nhóm riêng, chọn nhóm hoặc cơ chế lọc trông giống nhau trên ảnh chụp màn hình. Những cổng khác không triển khai gì trong số đó, và thuộc tính được ghi log rồi bị bỏ qua. Hãy đọc tài liệu cho chế độ truy cập từ xa mà bạn thực sự đã bật, không phải chế độ trong ảnh chụp màn hình.

Đọc phản hồi mà máy chủ thực sự đã gửi

Xác nhận những gì RADIUS trả về thay vì những gì trình soạn chính sách hiển thị. Một yêu cầu thử với cùng tên người dùng và mật khẩu đã biết sẽ in các thuộc tính phản hồi ở dạng đọc được, và điều đó giải quyết câu hỏi trong một bước.

radtest alice secret 10.0.0.10 0 testing123

Nếu các thuộc tính VLAN không có trong phản hồi đó, hãy sửa khớp chính sách trước. Nếu chúng có mặt, máy chủ đã làm phần của mình và khoảng trống nằm ở phía sau.

Chứng minh chính sách phiên trước, rồi đến khả năng tiếp cận

Bây giờ hãy xem phiên mà cổng kết nối đã dựng. Danh sách phiên đang hoạt động hiển thị nhóm, địa chỉ được gán và bất kỳ chính sách nhóm nào cổng kết nối đính kèm, và đó là bằng chứng duy nhất quan trọng cho việc thực thi. Hãy so sánh với những gì người dùng tiếp cận được, không phải với những gì chính sách dự định.

swanctl --list-sas

Sau đó kiểm tra từ máy khách một tài nguyên được phép và một tài nguyên bị từ chối, vì địa chỉ từ đúng nhóm không chứng minh được cách ly. Nếu cổng kết nối không có cơ chế cho phép gán bạn muốn, thêm bản sao thuộc tính sẽ không tạo ra một cơ chế. Địa chỉ từ nhóm mong đợi có thể tồn tại cùng với quyền truy cập đầy đủ vào mọi nhóm khác. Hãy chọn một cơ chế chính sách được hỗ trợ hoặc cố ý thay đổi thiết kế mạng.