Dodavanje korisnika u VPN grupu samo po sebi ne daje pristup
Članstvo u grupi je jedan uslov, a ne dozvola. Pogledajte šta je gateway stvarno upario, pročitajte zapis o prihvatanju ili odbijanju i testirajte oba ishoda.
Stavili ste nalog u pravu grupu, prijava je uspjela, a veza se i dalje odbija ili se uspostavi i ne stigne ni do čega korisnog. Uobičajena reakcija je dodavati korisnika u još grupa dok nešto ne popusti, i tako organizacije daju mnogo više prava nego što je tiket tražio. Članstvo u grupi je jedan ulaz u odluku o autorizaciji, nikad sama odluka: gateway prikupi nekoliko činjenica o sesiji, upari ih sa uređenom politikom i tek onda odluči šta sesija smije dirati. Ako je pao neki drugi uslov, promjena grupe ne mijenja ništa osim vaše izloženosti.
Članstvo u grupi je uslov, a ne dozvola
U RADIUS-u grupa dolazi kao atribut autorizacije, a atributi opisuju sesiju umjesto da je odobravaju. Server odgovara sa Access-Accept ili Access-Reject; pri prihvatanju može dodati Filter-Id, Class ili tunelske atribute iz RFC 2868, a mrežna oprema na drugoj strani ih tumači kako je proizvođač odlučio. Ništa u protokolu ne preslikava grupu u puni pristup; to preslikavanje piše onaj ko je podesio politiku na gatewayu ili mrežnom pristupnom serveru, i ono može biti usko kao jedan host.
Zato se isto ime grupe ponaša različito na dva sistema. Microsoft NPS sastavlja mrežne politike od uslova, ograničenja i postavki i ocjenjuje ih zadatim redom. OpenVPN Access Server ima svoj model grupa i pravila pristupa, a komunitetni OpenVPN server često sve pitanje prepušta client-connect skripti ili datoteci u client-config-dir. Svako troši grupu; nijedno ne dijeli logiku prioriteta drugoga.
Odluku donosi pravilo koje se uparilo, ne grupa koju ste očekivali
Većina mašina staje na prvoj politici koja se upari ili na najkonkretnijoj. Ako politika 3 odbija a politika 7 dozvoljava, sesija može pasti a da nikad ne stigne do pravila koje bi je propustilo. Red je stvarna postavka na NPS-u i većini proizvoda za kontrolu mrežnog pristupa i pomjera se godinama.
Uslovi koji idu uz grupu su druga polovina. Stanje uređaja, metod autentifikacije, završen MFA, izvorna mreža, subjekt certifikata ili vremenski prozor mogu biti u istoj politici. Kad jedan od njih nije ispunjen, politika se ne upari, mašina pada dalje i primjenjuje se podrazumijevano odbijanje. Sa stolice korisnika izgleda da je grupa ignorisana; sa stolice mašine grupa nije ni pitana.
Detalji iz direktorija stvaraju istu iluziju. Politika koja se uparuje po članstvu u Windows grupama čita SID-ove u korisničkom tokenu, a tamo se nabrajaju samo sigurnosne grupe, distribuciona grupa se nikad ne pojavi. Primarna grupa se nosi u svom polju, ne u nabrojanom spisku, pa politika vezana za nju može tiho pasti.
Pročitajte zapis o prihvatanju ili odbijanju prije nego dirnete grupu
Prvo jedno pitanje: je li zahtjev uopšte stigao do faze autorizacije? Na NPS-u je odgovor u dnevniku događaja, gdje 6272 bilježi odobren pristup, 6273 odbijanje, a 6274 zahtjev koji je server odbacio prije ocjene politike. Ta tri broja dijele problem na tri različite istrage, a samo jedna je o grupama.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Kad dnevnik nije dostupan, pitajte server direktno i pročitajte šta vraća. Odgovor bez Filter-Id i bez tunelskih atributa kaže da server sesiju smatra običnom i da gateway primjenjuje sopstvena pravila. Odgovor s atributima koje tačka primjene ne implementira druga je greška: autorizacija je prošla, a uređaj koji je trebalo da postupi ignorisao je rezultat.
radtest alice 'password' 10.0.0.5 0 testing123Uporedite vraćene atribute sa onima koje gateway dokumentuje, ne sa onim što ime grupe sugeriše. To poređenje obično razdvoji problem politike od problema primjene.
Promjena grupe ne djeluje unazad
Atributi autorizacije vraćaju se jednom, pri autentifikaciji sesije. Gateway ih čuva na sesiji i ne čita direktorij ponovo za svaki paket, zato uspostavljena sesija nastavlja raditi nakon što nekoga uklonite iz grupe, a nova može pasti dok stara još traje.
Da bi promjena stupila na snagu, treba nova odluka o autorizaciji, ne samo novi ključevi. Gdje server podržava dinamičku autorizaciju RFC 5176, Disconnect-Request ili CoA-Request na UDP 3799 prisiljava sesiju na ponovnu ocjenu; inače odspojite klijenta i pustite ga da se ponovo poveže. Ponovno pregovaranje osvježava tunelske ključeve i obično ne dira rezultat autorizacije.
Popravite uslov, ne grupu
Kad znate koja je politika proradila, popravka je obično mala: preuredite odbijanje koje zasjenjuje željeno odobrenje, dodajte nedostajući uslov za uređaj ili MFA u politiku koju ste mislili, ili napišite usko pravilo za jedan resurs umjesto da korisnika podignete u grupu koja nosi još deset.
Kratak ciklus čuva promjenu iskrenom:
- Reprodukujte odbijanje s originalnim nalogom i zapišite ID događaja prije nego bilo šta promijenite.
- Promijenite jedan objekt, red politika, jedan uslov ili jednu grupu, i zabilježite koji.
- Otvorite novu sesiju, potvrdite da se odobrenje vidi u dnevniku i da se resurs zaista otvara.
- Testirajte korisnika koji i dalje treba da bude odbijen, da popravka nije slučajno proširila politiku.
Ako je odobrenje ispravno a resurs se ne otvara, problem se preselio na rutiranje ili razrješavanje imena u trenutku kad je autorizacija prošla. Držite te dvije greške odvojeno i sljedeći tiket traje minute, ne popodne.