Симптомы

В журналах в графе пользователя отмечается авторизованный пользователь назначения, источник при этом не авторизован.

Например:

10.20.20.3 - недоменная Linux машина

10.10.10.170 - доменная Windows машина с авторизованным test пользователем

185.178.208.7 - cbr.ru

При такой конфигурации любой трафик с 10.20.20.3 на 10.10.10.170 будет помечаться пользователем, а в интернет - Unknown. При этом по факту 10.20.20.3 не авторизован и все правила будут отрабатывать корректно (как для Unknown пользователя).

То есть это особенность отображения пользователя в журналах, а именно в графе "Пользователь" будет отображен либо источник, либо назначение (источник приоритетнее).

Причина

SUM-27297