FSAE con Fortios 4.0

[ecarreon]

Hola todos, he configurado el FSAE en un servidor con Active Directory, gracias a otro tema que se toco en el foro ya puedo ver los usuarios de mi active directory en mi Fortigate. Tengo creados dos grupos de usuarios de Active Directory uno con internet ilimitado y otro con internet restringido, en el fortigate (200A) he creado 2 Grupos de Uno para internet ilimitado y otro con internet restringido. Si yo creo una politica de Firewall que bloquee a mis usuarios limitados (usando autenticación) después de 2 reglas de Firewall (por Ips) por ejemplo, realiza bien el filtrado. El problema es si yo creo otra regla de filtrado (usando autenticación) en un nivel superior ya no realiza correctamente el filtrado. Para explicar mejor este tema incluyo la siguiente imagen.

reglas de Firewall.jpg

Por ejemplo si inicia sesión un usuario que es un usuario Ilimitado (ID=1) aplica bien el perfil de protección.
Si inicia sesión un usuario restringido (ID=4) ya ni siquiera muestra ninguna página y no tiene salida a internet.

Si yo cambio el orden de la ID=1 debajo de la ID=4 ahora funciona bien el usuario restingido pero el ilimitado no.
Como que alguna configuración me esta faltando porque pasa bien las 2 primeras reglas de Firewall por IPs (ID=3, ID=2) pero no así si se topa con una regla de firewall de autenticación que no le corresponde al grupo de active directory. He realizado muchas pruebas iniciando sesión con diferentes usuarios pero solo funciona si su regla de firewall (autenticacion FSAE) es superior a otras reglas de firewall de autenticación (FSAE).

Les muestro una imagen de como esta por ejemplo la regla ID=4

RESTRINGIDO.png

Tengo la versión 4.0 de fortiOs no se si alguien le ha pasado algo similar?, espero me puedan ayudar.
Saludos.

[ecarreon]

Ya vi cual era el problema, solo se crea una regla de firewall que usa todos los grupos de usuarios con sus respectivos perfiles de protección.
Esta respuesta la encontré en otra parte del foro.
Saludos.

[gabyrossi]

hola, como dijo nuestro compañero tienes que hacer solo una politica de firewalll autenticando con todos los grupos de ad adentro.

saludos
gabriel