cisco-asa – 配置Freeradius以针对多个LDAP组检查连接用户

我正在将Cisco ASA设置为客户端VPN服务器.
设备依靠freeradius对用户进行身份验证. Freeradius又被配置为查询OpenLDAP.

modules / ldap文件已配置为使用以下过滤器检查组所有权(使用属性memberUid在每个组下列出成员)：

groupmembership_filter = "(&(objectClass=posixGroup)(memberUid=%{User-Name}))"

freeradius / users文件有以下声明：

DEFAULT LDAP-Group != "cn=unixadm,ou=groups,dc=services,dc=company,dc=com",Auth-Type := Reject

我想使用多个成员资格检查,例如,仅允许属于一组组的用户.显然,如果指定了多个组,则freeradius会失败.

我正在寻找列出多个组的方法.

用于freeradius和openldap的操作系统是ubuntu 10.04.

我找到了办法！必须以这种方式配置freeradius / users文件：

DEFAULT LDAP-Group == "cn=unixadm,dc=com"
DEFAULT LDAP-Group == "cn=developers,dc=com"
DEFAULT LDAP-Group == "cn=routingadm,dc=com"
DEFAULT Auth-Type := Reject
Reply-Message = "Sorry,you're not part of an authorized group! Ask ITOPS for authorization."

其余的都是一样的.测试按预期工作！