Skupinová politika NPS není vynucení prostředků VPN

Dvě skupiny, dva přístupové profily, jedna brána VPN a nakonec obě skupiny dosáhnou na stejné servery. Obvyklý důvod není rozbitá politika, ale chybějící druhá polovina návrhu: NPS rozhoduje, kdo smí navázat relaci, a něco jiného musí rozhodnout, kam tato relace smí dosáhnout. Když existuje jen první polovina, autorizace uspěje u každého, kdo se ověří. Politika dělá svou práci a návrh je stále neúplný.

Síťová politika odpovídající skupině je důkazem o přijetí. Není důkazem o paketech a mezera mezi těmito dvěma tvrzeními je místem, kde se odehrává většina této práce.

Najděte politiku, která relaci skutečně přijala

NPS vyhodnocuje seřazené síťové politiky a vyhrává první povolené pravidlo, jehož podmínky odpovídají. Podmínky mohou zahrnovat členství ve skupině uživatele nebo počítače, typ připojení, čas a stav zařízení. Proto široká politika umístěná dříve v seznamu přijme připojení dříve, než se užší pravidlo níže vůbec zváží. Pořadí není detail rozhraní; pořadí je politika.

Přečtěte seznam v pořadí a určete, které odpovídalo, potom si poznamenejte, jaká nastavení vrátilo. Název skupiny v editoru není výsledek; výsledkem je autorizace, kterou server obdržel. Udržujte autorizaci uživatele a autorizaci zařízení odděleně tam, kde nasazení používá obojí, protože účet, který smí otevřít tunel, není automaticky účet, který by měl dosáhnout na každou interní službu.

Odpověď RADIUS je instrukce, ne filtr

Atribut Filter-Id nese název seznamu filtrů. Nepřenáší přenosnou sadu pravidel pro filtrování paketů, kterým by rozuměl každý příjemce, a odeslání názvu, který brána nikdy nedefinovala, nevynucuje vůbec nic. Stejná opatrnost platí pro atributy VLAN: přiřazení tunelové relace do VLAN samo o sobě není směrované pravidlo přístupu pro tohoto uživatele.

Zde návrh, který na straně NPS vypadá úplně, tiše nedělá nic. Ověřte v dokumentaci dodavatele brány, které autorizační atributy jsou podporovány a co příjemce s každým z nich dělá, místo abyste předpokládali, že standardní název atributu znamená standardní chování.

Umístěte vynucení tam, kudy provoz prochází

Brána, která zpracovává pakety uživatele, může použít filtr pro každou relaci, namapovat skupinu na politiku brány nebo dát relaci adresu ze segregovaného fondu, se kterým firewall zachází jinak. Kterákoli z těchto možností může fungovat a každá selhává jinak. Určete, který mechanismus vaše brána podporuje, než napíšete politiku, která ho pojmenuje. Potom zapište, co se stane s relací, když tento mechanismus chybí, protože ticho je výchozí stav.

Popište zamýšlené oprávnění ve čtyřech částech: identita zdroje nebo skupina, cíl, protokol a port. Přidejte závislosti, které uživatel skutečně potřebuje, jako DNS nebo autentizační službu, jinak omezení rozbije přihlašovací toky, které nikdo nenapadlo otestovat. Pište pravidlo proti rozhraní, které skutečně filtruje, ne proti rozhraní, které je náhodou otevřené v editoru.

Počítejte také s překladem adres. Pokud firewall níže vidí jednu přeloženou zdrojovou adresu pro všechny uživatele tunelu, nemůže z té adresy samotné rozlišit jednotlivce, a pravidlo napsané, jako by mohl, bude buď zbytečné, nebo příliš široké.

Klientské profily žijí na nedůvěryhodné straně

Spravovaný profil VPN může protlačit trasy, pravidla rozděleného tunelu nebo filtry aplikací a ty formují chování dobře vychovaného zařízení. Nejsou ochranou služby, protože klient je strana, kterou se snažíte omezit. Odebrání trasy v profilu také není autorizace, jelikož klient může mít jinou cestu ke stejnému cíli.

Berte klientská nastavení jako pohodlí a nastavení brány jako kontrolu. Když se obě rozcházejí, brána má pravdu, protože je to ona, kdo vidí pakety.

Přijměte se dvěma účty, potom sledujte v pořadí

Vytvořte dva běžné testovací účty s odlišnými zamýšlenými oprávněními, navázejte nové relace a zkontrolujte účinnou politiku brány pro každý z nich. Potom otestujte jednu neškodnou povolenou operaci a jeden konkrétně zakázaný prostředek. Neúspěšný ping sám o sobě dokazuje velmi málo, protože ICMP může být filtrován, zatímco služba TCP za ním klidně odpovídá.

Když oba účty stále získají široký přístup, sledujte v pevném pořadí: která politika odpovídala, jakou autorizaci nesla odpověď a co s ní brána udělala. Přidávání dalších atributů NPS před ověřením, že je příjemce implementuje, je způsob, jak se malý problém s autorizací změní v okno změn bez výsledku.