Здравствуйте Коллеги.

Есть железка Dlink DFL-860e.
Настроил аутентификацию через RADIUS поднятый на Window Server 2008.
Аутентификация проходи на ура.

Когда я в Objects\Address Book\InterfaceAddresses создаю "IP4 addres" диапазон подсети а на вкладке "User Authentication" ставлю галку в поле "No defined credentials", пользователи домена на своих рабочих станциях вводят доменный логин и пароль и имеют доступ в Интернет.
Естественно написано правило в IP Rules где для этого объекта разрешен доступ в Интернет (NAT_HTTP)

Но мне хочется давать доступ не всем пользователям домена а только членам определенных групп домена.
Я снимал галку в поле "No defined credentials" и пытался прописывать названия групп домена в поле "Comma-separated list of user names and groups:" но ничего не получается, нет аутентификации. При том если в поле пишу доменное имя пользователя то этот пользователь может пройти аутентификацию и получить доступ в Интернет.

Подскажите как настроить возможность ограничения доступа до пользователей определенных групп домена?
Может нужно сделать особые настройки в RADIUS?

Если есть возможность, можно RADIUS серверу указать base CN на группу с нужными юзерами.
Вообще говоря, группы пользователя с RADIUS вполне работают на DFL - проверяли с FreeRADIUS.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Подскажите, пожалуйста, в каком формате я должен вводить имена групп домена в поле "Comma-separated list of user names and groups:"

Вы не поверите - группы, как они есть на сервере, через запятую

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Не проходит.

Даже сделал аутентификацию через LDAP а результат тот же.
Пишу Domain\User_Name все отлично.
Пишу Domain\Group_Name (пользователь конечно в группе) и не пускает.

У кого есть какие идеи, напишите!

Вам надо создать специальный атрибут в радиусе, который DFL понимает как группа.

Собственно вот пример. https://cloud.dlink.ru/owcl/public.php? ... ed034b04f6

_________________
Сообщения в PM игнорируются, задавайте вопросы на форуме.

Все сделал согласно инструкции но результат тот же, правда в логах заметил следующую запись

2013-10-15
17:08:07 Notice USERAUTH
3700102
192.168.1.10

user_login

idle_timeout=1800 session_timeout=0 groups="authed" authrule=test_RADIUS authagent=HTTPAuth authevent=login username="garant\blinov"

Смущает выделенная запись. Это значение я вводил в значениях атрибута при настройке RADIUS.
Может я в этих значениях ошибся?

Это вы такие группы получили с RADIUS, смотрите как сделали, повторяйте как надо.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Я вношу в значение этого атрибута название групп и он их передает устройству, устройство его понимает это конечно хорошо.
Но вопрос в том что не кто не проверяет а пользователь находится в этой доменной группе или нет!
Хотелось бы чтобы правило срабатывало только для пользователей находящихся в определенных группах.
Можно это реализовать и как?

Попробуйте ограничить выбор пользователей при запросе в АД выбором членов группы.
Как это делается - за пределами данного форума, пробуйте.

_________________
Хотите хороший девайс? D-Link DFL!

Хотите считать с него трафик?
http://www.raresoftware.ru/products/lan/dfltc

Уже потёрли
Можно выложить заново?

Столкнулся с анологичной проблемой, только на DFL-870, но это не важно. Пример про специальный атрибут в радиусе, выложите пожалуйста.

Обратитесь к Сергею Васильеву в личку с этой просьбой. Думаю, это вернее.

_________________
6 x DFL-210, 2 x DFL-800. Для DFL-210/260/800/860 лучшая прошивка 2.27.08.03 (for WW). СКАЧАТЬ.
Совет: Не используйте в IP- и Routing-правилах сочетание any/all-nets нигде, кроме временных правил. Иначе возможны бреши в безопасности и несрабатывание последующих правил.

Обновил пример https://cloud.dlink.ru/owcl/index.php/s/EQip3S2ujtOB5tJ

_________________
Сообщения в PM игнорируются, задавайте вопросы на форуме.

Sergey Vasiliev не пойму где и какой атрибут, что бы DFL распознавал как группу?