NPS qrup siyasəti VPN resurs məhdudlaşdırması deyil

İki qrup, iki giriş profili, bir VPN şlüzü və hər iki qrup sonda eyni serverlərə çatır. Adi səbəb pozulmuş siyasət deyil, dizaynın çatışmayan ikinci yarısıdır: NPS sessiyanı kimin qura biləcəyini qərarlaşdırır, sessiyanın nəyə çata biləcəyini isə başqa bir şey qərarlaşdırmalıdır. Yalnız birinci yarı mövcud olduqda, avtorizasiya autentifikasiyadan keçən hər kəs üçün uğurlu olur. Siyasət öz işini görür, dizayn isə hələ də natamamdır.

Qrupa uyğun gələn şəbəkə siyasəti qəbula dair sübutdur. Paketlərə dair sübut deyil və bu iki ifadə arasındakı boşluq bu işin çoxunun baş verdiyi yerdir.

Sessiyanı həqiqətən qəbul edən siyasəti tapın

NPS nizamlı şəbəkə siyasətlərini qiymətləndirir və şərtləri uyğun gələn ilk aktiv qayda qalib gəlir. Şərtlərə istifadəçi və ya kompüter qrup üzvlüyü, bağlantı növü, vaxt və cihaz vəziyyəti daxil ola bilər. Ona görə də siyahıda daha əvvəl yerləşdirilmiş geniş siyasət, aşağıdakı daha dar qayda heç nəzərdən keçirilməmişdən əvvəl bağlantını qəbul edir. Sıralama interfeysin detalları deyil; sıralama siyasətin özüdür.

Siyahını sıra ilə oxuyun və uyğun gələni müəyyən edin, sonra hansı parametrləri qaytardığını qeyd edin. Redaktorun qrup adı nəticə deyil; nəticə serverin aldığı avtorizasiyadır. Yerləşdirmə hər ikisini istifadə etdikdə istifadəçi avtorizasiyasını cihaz avtorizasiyasından ayrı saxlayın, çünki tunel aça bilən hesab avtomatik olaraq hər daxili xidmətə çatmalı olan hesab deyil.

RADIUS cavabı göstərişdir, filtr deyil

Filter-Id atributu filtr siyahısının adını daşıyır. Hər qəbuledicinin başa düşdüyü daşınan paket-filtr qaydaları dəsti göndərmir və şlüzün heç vaxt təyin etmədiyi adı göndərmək heç nə tətbiq etmir. Eyni ehtiyat VLAN atributlarına da aiddir: tunel sessiyasını VLAN-a təyin etmək özlüyündə həmin istifadəçi üçün marşrutlaşdırılmış giriş qaydası deyil.

NPS tərəfində tam görünən dizaynın səssizcə heç nə etmədiyi yer budur. Şlüz təchizatçısının sənədləri ilə hansı avtorizasiya atributlarının dəstəkləndiyini və qəbuledicinin hər biri ilə nə etdiyini təsdiqləyin; standart atribut adının standart davranış demək olduğunu fərz etməyin.

Tətbiqi trafikin keçdiyi yerə qoyun

İstifadəçinin paketlərini emal edən şlüz hər sessiya üçün filtr tətbiq edə, qrupu şlüz siyasətinə xəritələyə və ya sessiyaya ayrılmış hovuzdan bir ünvan verə bilər ki, firewall onu fərqli rəftar edir. Bunlardan hər hansı işləyə bilər və onlar fərqli yollarla uğursuz olur. Siyasəti adlandırmadan əvvəl şlüzünüzün hansı mexanizmi dəstəklədiyini müəyyən edin. Sonra həmin mexanizm olmadıqda sessiya ilə nə baş verdiyini yazın, çünki susmaq standart haldır.

Nəzərdə tutulan icazəni dörd hissədə təsvir edin: mənbə kimliyi və ya qrup, təyinat, protokol və port. İstifadəçinin həqiqətən ehtiyac duyduğu asılılıqları əlavə edin, məsələn DNS və ya autentifikasiya xidməti, əks halda məhdudiyyət heç kimin sınaqdan keçirməyi düşünmədiyi giriş axınlarını pozacaq. Qaydanı faktiki filtr edən interfeysə qarşı yazın, redaktorda təsadüfən açıq olan interfeysə qarşı yox.

Tərcüməni də nəzərə alın. Aşağı axındakı firewall hər tunel istifadəçisi üçün tək tərcümə edilmiş mənbə ünvanı görürsə, yalnız o ünvandan fərdləri ayıra bilməz və sanki ayıra bilirmiş kimi yazılmış qayda ya faydasız, ya da həddindən artıq geniş olacaq.

Müştəri profilləri etibarsız tərəfdə yaşayır

İdarə olunan VPN profili marşrutları, bölünmüş tunel qaydalarını və ya tətbiq filtrlərini itələyə bilər və bunlar yaxşı davranan cihazın necə davrandığını formalaşdırır. Onlar xidmət üçün müdafiə deyil, çünki məhdudlaşdırmağa çalışdığınız tərəf müştəridir. Profildə marşrutu silmək də avtorizasiya deyil, çünki müştərinin eyni təyinat nöqtəsinə başqa yolu ola bilər.

Müştəri parametrlərinə rahatlıq, şlüz parametrlərinə nəzarət kimi yanaşın. İkisi ziddiyyət təşkil etdikdə şlüz haqlıdır, çünki paketləri görən elə odur.

İki hesabla qəbul edin, sonra sıra ilə izləyin

Fərqli nəzərdə tutulan icazələri olan iki adi sınaq hesabı yaradın, təzə sessiyalar qurun və hər biri üçün qüvvədə olan şlüz siyasətini yoxlayın. Sonra bir zərərsiz icazəli əməliyyatı və xüsusi olaraq qadağan edilmiş bir resursu sınayın. Uğursuz ping özlüyündə çox az şey sübut edir, çünki ICMP filtrələnə bilər, arxasındakı TCP xidməti isə məmnuniyyətlə cavab verir.

Hər iki hesab hələ də geniş giriş əldə etdikdə sabit sıra ilə izləyin: hansı siyasət uyğun gəldi, cavab hansı avtorizasiyanı daşıdı və şlüz onunla nə etdi. Qəbuledicinin onları tətbiq etdiyini təsdiqləməmişdən əvvəl daha çox NPS atributu əlavə etmək kiçik bir avtorizasiya problemini nəticəsiz dəyişiklik pəncərəsinə çevirən yoldur.