Nid yw polisi grŵp NPS yn gorfodi adnoddau VPN

Dau grŵp, dau broffil mynediad, un porth VPN, ac mae’r ddau grŵp yn y pen draw yn cyrraedd yr un gweinyddion. Nid polisi wedi torri mo’r rheswm arferol, ond hanner arall sydd ar goll o’r cynllun: mae NPS yn penderfynu pwy a gaiff sefydlu sesiwn, ac mae’n rhaid i rywbeth arall benderfynu beth y caiff y sesiwn honno ei gyrraedd. Pan mai dim ond yr hanner cyntaf sydd yn bodoli, mae awdurdodiad yn llwyddo i bawb sy’n dilysu. Mae’r polisi yn gwneud ei waith, ac mae’r cynllun yn dal yn anghyflawn.

Mae polisi rhwydwaith sy’n cyfateb i grŵp yn dystiolaeth am dderbyniad. Nid yw’n dystiolaeth am becynnau, a’r bwlch rhwng y ddwy ddatganiad hynny yw lle mae’r rhan fwyaf o’r gwaith hwn yn digwydd.

Dewch o hyd i’r polisi a dderbyniodd y sesiwn mewn gwirionedd

Mae NPS yn gwerthuso polisïau rhwydwaith wedi’u trefnu, a’r rheol gyntaf sydd wedi’i galluogi ac y mae ei hamodau’n cyfateb sy’n ennill. Gall amodau gynnwys aelodaeth grŵp defnyddiwr neu gyfrifiadur, math o gysylltiad, amser a chyflwr y ddyfais. Felly mae polisi eang a roddir yn gynharach yn y rhestr yn derbyn cysylltiad cyn i reol fwy cyfyng islaw gael ei hystyried o gwbl. Nid manylyn o’r rhyngwyneb yw’r drefn; y drefn yw’r polisi.

Darllenwch y rhestr yn ei threfn a nodwch yr un a gyfatebodd, yna nodwch pa osodiadau a ddychwelodd. Nid yw enw’r grŵp yn y golygydd yn ganlyniad; y canlyniad yw’r awdurdodiad a gafodd y gweinydd. Cadwch awdurdodiad defnyddiwr ac awdurdodiad dyfais ar wahân lle mae’r defnydd yn defnyddio’r ddau, oherwydd nid yw cyfrif a gaiff agor twnnel yn gyfrif y dylai gyrraedd pob gwasanaeth mewnol yn awtomatig.

Cyfarwyddyd yw ateb RADIUS, nid hidlydd

Mae priodwedd Filter-Id yn cario enw rhestr hidlyddion. Nid yw’n anfon set gludadwy o reolau hidlo pecynnau y mae pob derbynnydd yn ei deall, ac nid yw anfon enw nad yw’r porth erioed wedi’i ddiffinio yn gorfodi dim o gwbl. Mae’r un gofal yn berthnasol i briodweddau VLAN: nid yw neilltuo sesiwn twnnel i VLAN, ynddo’i hun, yn rheol mynediad llwybreiddiedig i’r defnyddiwr hwnnw.

Dyma lle mae cynllun sy’n edrych yn gyflawn ar ochr NPS yn gwneud dim yn dawel. Cadarnhewch gyda dogfennaeth cyflenwr y porth pa briodweddau awdurdodi sy’n cael eu cefnogi a beth mae’r derbynnydd yn ei wneud â phob un, yn lle tybio bod enw priodwedd safonol yn awgrymu ymddygiad safonol.

Rhowch orfodi lle mae’r traffig yn mynd heibio

Gall porth sy’n prosesu pecynnau’r defnyddiwr gymhwyso hidlydd fesul sesiwn, mapio grŵp i bolisi’r porth, neu roi i’r sesiwn gyfeiriad o gronfa ar wahân y mae tânfur yn ei drin yn wahanol. Gall unrhyw un o’r rhain weithio, ac maent yn methu mewn ffyrdd gwahanol. Nodwch pa fecanwaith y mae eich porth yn ei gefnogi cyn ysgrifennu’r polisi sy’n ei enwi. Yna ysgrifennwch beth sy’n digwydd i sesiwn pan fo’r mecanwaith hwnnw’n absennol, oherwydd tawelwch yw’r rhagosodiad.

Disgrifiwch y caniatâd arfaethedig mewn pedair rhan: hunaniaeth ffynhonnell neu grŵp, cyrchfan, protocol a phorth. Ychwanegwch y dibyniaethau y mae’r defnyddiwr eu hangen mewn gwirionedd, fel DNS neu wasanaeth dilysu, neu bydd y cyfyngiad yn torri llifoedd mewngofnodi na chafodd neb syniad i’w profi. Ysgrifennwch y rheol yn erbyn y rhyngwyneb sy’n hidlo mewn gwirionedd, nid yn erbyn y rhyngwyneb sydd ar agor ar hap yn y golygydd.

Cyfrifwch hefyd am gyfieithu. Os yw tânfur i lawr y ffordd yn gweld un cyfeiriad ffynhonnell cyfieithiedig ar gyfer pob defnyddiwr twnnel, ni all wahaniaethu unigolion o’r cyfeiriad hwnnw yn unig, a bydd rheol a ysgrifennwyd fel pe bai’n gallu naill ai’n ddiwerth neu’n rhy eang.

Mae proffiliau cleient yn byw ar yr ochr anniogel

Gall proffil VPN wedi’i reoli wthio llwybrau, rheolau twnnel holltiedig neu hidlyddion cymwysiadau, ac mae’r rhain yn llunio sut mae dyfais sy’n ymddwyn yn dda yn ymddwyn. Nid ydynt yn amddiffyniad i’r gwasanaeth, oherwydd y cleient yw’r parti rydych chi’n ceisio’i gyfyngu. Nid yw tynnu llwybr mewn proffil yn awdurdodiad chwaith, gan y gall cleient fod â llwybr arall i’r un gyrchfan.

Triniwch osodiadau cleient fel cyfleustra a gosodiadau’r porth fel rheolaeth. Pan fo’r ddau’n anghytuno, mae’r porth yn iawn oherwydd hi yw’r un sy’n gweld y pecynnau.

Derbyniwch gyda dau gyfrif, yna dilynwch yn nhrefn

Crëwch ddau gyfrif prawf cyffredin â chaniatadau arfaethedig gwahanol, sefydlwch sesiynau newydd, a gwiriwch bolisi effeithiol y porth ar gyfer pob un. Yna profwch un weithred ddiniwed a ganiateir ac un adnodd a wrthodir yn benodol. Ychydig iawn y mae ping sy’n methu yn ei brofi ar ei ben ei hun, gan y gall ICMP gael ei hidlo tra bo’r gwasanaeth TCP y tu ôl iddo yn ateb yn hapus.

Pan fo’r ddau gyfrif yn dal i gael mynediad eang, dilynwch mewn trefn sefydlog: pa bolisi a gyfatebodd, pa awdurdodiad a gariwyd gan yr ateb, a beth a wnaeth y porth ag ef. Mae ychwanegu mwy o briodweddau NPS cyn cadarnhau bod y derbynnydd yn eu gweithredu yn ffordd o droi problem awdurdodi fach yn ffenestr newid heb ganlyniad.