NPS grupna pravila nisu primjena VPN resursa

Dvije grupe, dva pristupna profila, jedan VPN gateway, a obje grupe na kraju dosežu iste servere. Uobičajen razlog nije pokvareno pravilo, nego nedostajuća druga polovina dizajna: NPS odlučuje ko smije uspostaviti sesiju, a nešto drugo mora odlučiti šta ta sesija smije dosegnuti. Kada postoji samo prva polovina, autorizacija uspijeva za svakoga ko se autentificira. Pravilo radi svoj posao, a dizajn je i dalje nepotpun.

Mrežno pravilo koje se podudara s grupom dokaz je o prijemu. Nije dokaz o paketima, a jaz između te dvije tvrdnje mjesto je gdje se odvija većina ovog posla.

Pronađite pravilo koje je zaista primilo sesiju

NPS vrednuje poredana mrežna pravila, a pobjeđuje prvo omogućeno pravilo čiji se uvjeti podudaraju. Uvjeti mogu uključivati članstvo u grupi korisnika ili računala, vrstu veze, vrijeme i stanje uređaja. Zato široko pravilo smješteno ranije na popisu prima vezu prije nego što se uže pravilo niže uopće razmotri. Redoslijed nije detalj sučelja; redoslijed je pravilo.

Pročitajte popis po redu i prepoznajte ono koje se podudarilo, zatim zabilježite koje je postavke vratilo. Naziv grupe u uređivaču nije rezultat; rezultat je autorizacija koju je poslužitelj primio. Držite autorizaciju korisnika i autorizaciju uređaja odvojeno gdje implementacija koristi obje, jer račun koji smije otvoriti tunel nije automatski račun koji bi trebao dosezati svaku internu uslugu.

RADIUS odgovor je uputa, a ne filtar

Atribut Filter-Id nosi naziv popisa filtara. On ne prenosi prenosiv skup pravila za filtriranje paketa koja razumije svaki primatelj, a slanje naziva koji gateway nikada nije definirao ne primjenjuje baš ništa. Isto se odnosi na atribute VLAN-a: dodjela tunelske sesije VLAN-u sama po sebi nije usmjeravano pravilo pristupa za tog korisnika.

Ovdje dizajn koji na strani NPS-a izgleda cjelovit tiho ne čini ništa. Provjerite u dokumentaciji dobavljača gatewaya koji su atributi autorizacije podržani i šta primatelj čini sa svakim, umjesto da pretpostavite da standardni naziv atributa znači standardno ponašanje.

Postavite primjenu tamo gdje promet prolazi

Gateway koji obrađuje korisnikove pakete može primijeniti filtar po sesiji, preslikati grupu na pravilo gatewaya ili dati sesiji adresu iz izdvojenog skupa koju firewall tretira drukčije. Bilo koje od toga može raditi, a one zataje na različite načine. Utvrdite koji mehanizam vaš gateway podržava prije nego napišete pravilo koje ga imenuje. Zatim zapišite šta se događa sa sesijom kada tog mehanizma nema, jer tišina je zadano stanje.

Opišite namjeravano dopuštenje u četiri dijela: identitet izvora ili grupa, odredište, protokol i port. Dodajte zavisnosti koje korisnik zaista treba, poput DNS-a ili usluge autentifikacije, inače će ograničenje slomiti tokove prijave koje nitko nije pomislio testirati. Pišite pravilo prema sučelju koje zaista filtrira, a ne prema sučelju koje je slučajno otvoreno u uređivaču.

Uzmite u obzir i prevođenje adresa. Ako firewall nizvodno vidi jednu prevedenu izvornu adresu za svakog korisnika tunela, ne može razlikovati pojedince samo po toj adresi, a pravilo napisano kao da može bit će ili beskorisno ili preširoko.

Profili klijenta žive na nepouzdanoj strani

Upravljani VPN profil može gurati rute, pravila podijeljenog tunela ili filtre aplikacija, a oni oblikuju kako se dobro odgojen uređaj ponaša. Oni nisu zaštita usluge, jer klijent je strana koju pokušavate ograničiti. Uklanjanje rute u profilu također nije autorizacija, budući da klijent može imati drugi put do istog odredišta.

Tretirajte postavke klijenta kao pogodnost, a postavke gatewaya kao kontrolu. Kada se dvoje ne slažu, gateway je u pravu jer je on taj koji vidi pakete.

Prihvatite s dva računa, zatim slijedite po redu

Stvorite dva obična testna računa s različitim namjeravanim dopuštenjima, uspostavite nove sesije i provjerite djelotvorno pravilo gatewaya za svaki. Zatim testirajte jednu bezazlenu dopuštenu radnju i jedan izričito odbijen resurs. Neuspjeli ping sam po sebi dokazuje vrlo malo, jer ICMP može biti filtriran dok TCP usluga iza njega mirno odgovara.

Kada oba računa i dalje dobiju širok pristup, slijedite fiksnim redom: koje se pravilo podudarilo, kakvu je autorizaciju nosio odgovor i šta je gateway s njom učinio. Dodavanje još NPS atributa prije provjere da ih primatelj implementira način je na koji mali problem autorizacije postaje prozor promjena bez rezultata.