Η προσθήκη χρήστη σε ομάδα VPN δεν παρέχει από μόνη της πρόσβαση

Έβαλες τον λογαριασμό στη σωστή ομάδα, η σύνδεση πέτυχε, και η σύνδεση απορρίπτεται ακόμη ή συνδέεται και δεν φτάνει σε τίποτα χρήσιμο. Η συνήθης αντίδραση είναι να προσθέτεις τον χρήστη σε περισσότερες ομάδες μέχρι να υποχωρήσει κάτι, και έτσι οι οργανισμοί δίνουν πολύ περισσότερα από όσα ζητούσε το ticket. Η συμμετοχή σε ομάδα είναι μία είσοδος στην απόφαση εξουσιοδότησης, ποτέ η απόφαση η ίδια: η πύλη συλλέγει λίγα γεγονότα για τη συνεδρία, τα ταιριάζει με διατεταγμένη πολιτική και μόνο τότε αποφασίζει τι μπορεί να αγγίξει η συνεδρία. Αν απέτυχε άλλη συνθήκη, η αλλαγή ομάδας δεν αλλάζει τίποτα εκτός από την έκθεσή σου.

Η συμμετοχή σε ομάδα είναι συνθήκη, όχι άδεια

Στο RADIUS η ομάδα φτάνει ως χαρακτηριστικό εξουσιοδότησης, και τα χαρακτηριστικά περιγράφουν τη συνεδρία αντί να την επιτρέπουν. Ο διακομιστής απαντά με Access-Accept ή Access-Reject· στην αποδοχή μπορεί να επισυνάψει Filter-Id, Class ή τα χαρακτηριστικά σήραγγας από το RFC 2868, και ο δικτυακός εξοπλισμός στην άλλη άκρη τα ερμηνεύει όπως αποφάσισε ο κατασκευαστής. Τίποτα στο πρωτόκολλο δεν αντιστοιχίζει ομάδα σε πλήρη πρόσβαση· αυτή την αντιστοίχιση τη γράφει όποιος ρύθμισε την πολιτική στην πύλη ή στον διακομιστή δικτυακής πρόσβασης, και μπορεί να είναι στενή όσο ένας μόνο κόμβος.

Γι αυτό ένα ίδιο όνομα ομάδας συμπεριφέρεται διαφορετικά σε δύο συστήματα. Το Microsoft NPS συνθέτει πολιτικές δικτύου από συνθήκες, περιορισμούς και ρυθμίσεις και τις αξιολογεί με καθορισμένη σειρά. Το OpenVPN Access Server έχει δικό του μοντέλο ομάδων και κανόνων πρόσβασης, ενώ ένας διακομιστής OpenVPN κοινότητας αναθέτει συχνά όλο το ζήτημα σε script client-connect ή σε αρχείο client-config-dir. Καθένα καταναλώνει ομάδα· κανένα δεν μοιράζεται τη λογική προτεραιότητας του άλλου.

Αποφασίζει ο κανόνας που ταίριαξε, όχι η ομάδα που περίμενες

Οι περισσότερες μηχανές σταματούν στην πρώτη πολιτική που ταιριάζει ή στην πιο ειδική. Αν η πολιτική 3 απορρίπτει και η πολιτική 7 επιτρέπει, η συνεδρία μπορεί να αποτύχει χωρίς να φτάσει ποτέ στον κανόνα που θα την άφηνε να περάσει. Η σειρά είναι πραγματική ρύθμιση στο NPS και στα περισσότερα προϊόντα ελέγχου δικτυακής πρόσβασης και μετατοπίζεται με τα χρόνια.

Οι συνθήκες που συνοδεύουν την ομάδα είναι το άλλο μισό. Κατάσταση συσκευής, μέθοδος ελέγχου ταυτότητας, ολοκληρωμένο MFA, δίκτυο προέλευσης, θέμα πιστοποιητικού ή χρονικό παράθυρο μπορούν να βρίσκονται στην ίδια πολιτική. Όταν ένα λείπει, η πολιτική δεν ταιριάζει, η μηχανή πέφτει και ισχύει η προεπιλεγμένη απόρριψη. Από τη θέση του χρήστη μοιάζει η ομάδα να αγνοείται· από τη θέση της μηχανής η ομάδα δεν ρωτήθηκε ποτέ.

Οι λεπτομέρειες του καταλόγου δημιουργούν την ίδια ψευδαίσθηση. Πολιτική που ταιριάζει με συμμετοχή σε ομάδες Windows διαβάζει τα SID στο token του χρήστη, και εκεί απαριθμούνται μόνο ομάδες ασφαλείας, ομάδα διανομής δεν εμφανίζεται ποτέ. Η κύρια ομάδα μεταφέρεται σε δικό της πεδίο και όχι στη λίστα, οπότε πολιτική καρφωμένη σε αυτή μπορεί να αποτύχει σιωπηλά.

Διάβασε την εγγραφή αποδοχής ή απόρριψης πριν αγγίξεις ομάδα

Ρώτησε πρώτα ένα πράγμα: έφτασε το αίτημα καθόλου στο στάδιο εξουσιοδότησης; Στο NPS η απάντηση είναι στο αρχείο συμβάντων, όπου το 6272 καταγράφει πρόσβαση που δόθηκε, το 6273 απόρριψη και το 6274 αίτημα που ο διακομιστής πέταξε πριν αξιολογήσει πολιτική. Αυτοί οι τρεις αριθμοί χωρίζουν το πρόβλημα σε τρεις διαφορετικές έρευνες, και μόνο μία αφορά ομάδες.

Όταν το αρχείο δεν είναι προσβάσιμο, ρώτησε τον διακομιστή απευθείας και διάβασε τι επιστρέφει. Απάντηση χωρίς Filter-Id και χωρίς χαρακτηριστικά σήραγγας λέει ότι ο διακομιστής θεωρεί τη συνεδρία συνηθισμένη και η πύλη εφαρμόζει δικούς της κανόνες. Απάντηση με χαρακτηριστικά που το σημείο επιβολής δεν υλοποιεί είναι άλλη βλάβη: η εξουσιοδότηση πέρασε και η συσκευή αγνόησε το αποτέλεσμα.

radtest alice 'password' 10.0.0.5 0 testing123

Σύγκρινε τα χαρακτηριστικά που επιστράφηκαν με αυτά που τεκμηριώνει η πύλη, όχι με αυτό που υπονοεί το όνομα της ομάδας. Αυτή η σύγκριση χωρίζει συνήθως πρόβλημα πολιτικής από πρόβλημα επιβολής.

Η αλλαγή ομάδας δεν ισχύει αναδρομικά

Τα χαρακτηριστικά εξουσιοδότησης επιστρέφονται μία φορά, όταν πιστοποιείται η συνεδρία. Η πύλη τα κρατά στη συνεδρία και δεν ξαναδιαβάζει τον κατάλογο για κάθε πακέτο, γι αυτό μια εγκατεστημένη συνεδρία συνεχίζει να δουλεύει αφού βγάλεις κάποιον από ομάδα, και μια νέα μπορεί να αποτύχει όσο η παλιά τρέχει.

Για να ισχύσει η αλλαγή χρειάζεσαι νέα απόφαση εξουσιοδότησης, όχι μόνο νέα κλειδιά. Όπου ο διακομιστής υποστηρίζει δυναμική εξουσιοδότηση RFC 5176, ένα Disconnect-Request ή CoA-Request στο UDP 3799 αναγκάζει τη συνεδρία σε επανεκτίμηση· αλλιώς αποσύνδεσε τον πελάτη και άφησέ τον να συνδεθεί ξανά. Η επαναδιαπραγμάτευση ανανεώνει τα κλειδιά σήραγγας και συνήθως αφήνει το αποτέλεσμα εξουσιοδότησης ανέπαφο.

Διόρθωσε τη συνθήκη, όχι την ομάδα

Όταν ξέρεις ποια πολιτική ενεργοποιήθηκε, η επισκευή είναι συνήθως μικρή: αναδιάταξη μιας απόρριψης που επισκιάζει την επιθυμητή άδεια, προσθήκη της συνθήκης συσκευής ή MFA στην πολιτική που είχες στο νου, ή στενός κανόνας για τον ένα πόρο αντί να ανεβάσεις τον χρήστη σε ομάδα που κουβαλά άλλες δέκα.

Ένας σύντομος βρόχος κρατά την αλλαγή έντιμη:

• Αναπαράγαγε την απόρριψη με τον αρχικό λογαριασμό και γράψε το ID συμβάντος πριν αλλάξεις οτιδήποτε.
• Άλλαξε ένα αντικείμενο, σειρά πολιτικών, μία συνθήκη ή μία ομάδα, και σημείωσε ποιο.
• Άνοιξε νέα συνεδρία, επιβεβαίωσε ότι η άδεια εμφανίζεται στο αρχείο και ότι ο πόρος ανοίγει πραγματικά.
• Δοκίμασε χρήστη που πρέπει να απορρίπτεται ακόμη, ώστε η επισκευή να μην άνοιξε κατά λάθος την πολιτική.

Αν η άδεια είναι σωστή και ο πόρος δεν ανοίγει, το πρόβλημα μετακινήθηκε σε δρομολόγηση ή επίλυση ονομάτων τη στιγμή που πέρασε η εξουσιοδότηση. Κράτα τις δύο βλάβες χωριστά και το επόμενο ticket θα πάρει λεπτά, όχι απόγευμα.