Η πολιτική ομάδας του NPS δεν είναι επιβολή πόρων VPN

Δύο ομάδες, δύο προφίλ πρόσβασης, μία πύλη VPN, και τελικά και οι δύο ομάδες φτάνουν στους ίδιους διακομιστές. Η συνήθης αιτία δεν είναι σπασμένη πολιτική αλλά ένα δεύτερο μισό που λείπει από τον σχεδιασμό: το NPS αποφασίζει ποιος μπορεί να δημιουργήσει συνεδρία, και κάτι άλλο πρέπει να αποφασίσει τι μπορεί να προσεγγίσει αυτή η συνεδρία. Όταν υπάρχει μόνο το πρώτο μισό, η εξουσιοδότηση πετυχαίνει για όποιον πιστοποιείται. Η πολιτική κάνει τη δουλειά της, και ο σχεδιασμός παραμένει ελλιπής.

Μια πολιτική δικτύου που ταιριάζει με ομάδα είναι απόδειξη για την εισδοχή. Δεν είναι απόδειξη για πακέτα, και το κενό ανάμεσα σε αυτές τις δύο δηλώσεις είναι εκεί όπου συμβαίνει το μεγαλύτερο μέρος αυτής της δουλειάς.

Βρείτε την πολιτική που πράγματι δέχτηκε τη συνεδρία

Το NPS αξιολογεί διατεταγμένες πολιτικές δικτύου, και κερδίζει ο πρώτος ενεργοποιημένος κανόνας του οποίου οι συνθήκες ταιριάζουν. Οι συνθήκες μπορούν να περιλαμβάνουν ιδιότητα μέλους ομάδας χρήστη ή υπολογιστή, τύπο σύνδεσης, ώρα και κατάσταση συσκευής. Επομένως μια ευρεία πολιτική τοποθετημένη νωρίτερα στη λίστα δέχεται μια σύνδεση προτού καν εξεταστεί στενότερος κανόνας πιο κάτω. Η σειρά δεν είναι λεπτομέρεια της διεπαφής· η σειρά είναι η πολιτική.

Διαβάστε τη λίστα με τη σειρά και εντοπίστε αυτή που ταίριαξε, έπειτα σημειώστε ποιες ρυθμίσεις επέστρεψε. Το όνομα ομάδας στον επεξεργαστή δεν είναι το αποτέλεσμα· το αποτέλεσμα είναι η εξουσιοδότηση που έλαβε ο διακομιστής. Κρατήστε την εξουσιοδότηση χρήστη και την εξουσιοδότηση συσκευής χωριστά όπου η εγκατάσταση χρησιμοποιεί και τις δύο, γιατί ένας λογαριασμός που επιτρέπεται να ανοίξει σήραγγα δεν είναι αυτόματα λογαριασμός που θα έπρεπε να προσεγγίζει κάθε εσωτερική υπηρεσία.

Η απάντηση RADIUS είναι οδηγία, όχι φίλτρο

Ένα χαρακτηριστικό Filter-Id φέρει το όνομα μιας λίστας φίλτρων. Δεν μεταφέρει ένα φορητό σύνολο κανόνων φιλτραρίσματος πακέτων που καταλαβαίνει κάθε αποδέκτης, και η αποστολή ενός ονόματος που η πύλη δεν όρισε ποτέ δεν επιβάλλει απολύτως τίποτα. Η ίδια προσοχή ισχύει για τα χαρακτηριστικά VLAN: η ανάθεση μιας συνεδρίας σήραγγας σε ένα VLAN δεν είναι από μόνη της κανόνας δρομολογημένης πρόσβασης για αυτόν τον χρήστη.

Εδώ ένας σχεδιασμός που φαίνεται πλήρης στην πλευρά του NPS δεν κάνει ήσυχα τίποτα. Επιβεβαιώστε από την τεκμηρίωση του προμηθευτή της πύλης ποια χαρακτηριστικά εξουσιοδότησης υποστηρίζονται και τι κάνει ο αποδέκτης με καθένα, αντί να υποθέσετε ότι ένα τυπικό όνομα χαρακτηριστικού συνεπάγεται τυπική συμπεριφορά.

Τοποθετήστε την επιβολή εκεί όπου περνά η κίνηση

Μια πύλη που επεξεργάζεται τα πακέτα του χρήστη μπορεί να εφαρμόσει φίλτρο ανά συνεδρία, να αντιστοιχίσει μια ομάδα σε πολιτική πύλης ή να δώσει στη συνεδρία μια διεύθυνση από απομονωμένη δεξαμενή που το τείχος προστασίας χειρίζεται διαφορετικά. Οποιοδήποτε από αυτά μπορεί να δουλέψει, και αποτυγχάνουν με διαφορετικούς τρόπους. Προσδιορίστε ποιον μηχανισμό υποστηρίζει η πύλη σας πριν γράψετε την πολιτική που τον ονομάζει. Έπειτα γράψτε τι συμβαίνει σε μια συνεδρία όταν αυτός ο μηχανισμός λείπει, γιατί η σιωπή είναι η προεπιλογή.

Περιγράψτε την επιδιωκόμενη άδεια σε τέσσερα μέρη: ταυτότητα πηγής ή ομάδα, προορισμός, πρωτόκολλο και θύρα. Προσθέστε τις εξαρτήσεις που χρειάζεται πραγματικά ο χρήστης, όπως DNS ή υπηρεσία ελέγχου ταυτότητας, αλλιώς ο περιορισμός θα σπάσει ροές σύνδεσης που κανείς δεν σκέφτηκε να δοκιμάσει. Γράψτε τον κανόνα απέναντι στη διεπαφή που φιλτράρει πραγματικά, όχι απέναντι στη διεπαφή που τυχαίνει να είναι ανοιχτή στον επεξεργαστή.

Λάβετε υπόψη και τη μετάφραση. Αν ένα τείχος προστασίας πιο κάτω βλέπει μία μεταφρασμένη διεύθυνση πηγής για κάθε χρήστη σήραγγας, δεν μπορεί να ξεχωρίσει άτομα μόνο από αυτή τη διεύθυνση, και ένας κανόνας γραμμένος σαν να μπορούσε θα είναι είτε άχρηστος είτε υπερβολικά ευρύς.

Τα προφίλ πελάτη ζουν στην μη αξιόπιστη πλευρά

Ένα διαχειριζόμενο προφίλ VPN μπορεί να σπρώξει διαδρομές, κανόνες διαχωρισμένης σήραγγας ή φίλτρα εφαρμογών, και αυτά διαμορφώνουν το πώς συμπεριφέρεται μια καλοσυμπεριφερόμενη συσκευή. Δεν είναι προστασία για την υπηρεσία, γιατί ο πελάτης είναι το μέρος που προσπαθείτε να περιορίσετε. Η αφαίρεση μιας διαδρομής σε ένα προφίλ δεν είναι εξουσιοδότηση επίσης, αφού ο πελάτης μπορεί να έχει άλλη διαδρομή προς τον ίδιο προορισμό.

Αντιμετωπίστε τις ρυθμίσεις πελάτη ως ευκολία και τις ρυθμίσεις πύλης ως έλεγχο. Όταν τα δύο διαφωνούν, η πύλη έχει δίκιο, γιατί αυτή είναι που βλέπει τα πακέτα.

Δεχτείτε με δύο λογαριασμούς και μετά ιχνηλατήστε με σειρά

Δημιουργήστε δύο συνηθισμένους δοκιμαστικούς λογαριασμούς με διαφορετικές επιδιωκόμενες άδειες, δημιουργήστε νέες συνεδρίες και ελέγξτε την ενεργή πολιτική πύλης για καθέναν. Έπειτα δοκιμάστε μία ακίνδυνη επιτρεπόμενη ενέργεια και έναν συγκεκριμένα απορριφθέντα πόρο. Ένα αποτυχημένο ping αποδεικνύει από μόνο του πολύ λίγα, αφού το ICMP μπορεί να φιλτράρεται ενώ η υπηρεσία TCP πίσω του απαντά ευχάριστα.

Όταν και οι δύο λογαριασμοί εξακολουθούν να έχουν ευρεία πρόσβαση, ιχνηλατήστε με σταθερή σειρά: ποια πολιτική ταίριαξε, ποια εξουσιοδότηση έφερε η απάντηση και τι έκανε η πύλη με αυτήν. Το να προσθέτετε περισσότερα χαρακτηριστικά NPS πριν επιβεβαιώσετε ότι ο αποδέκτης τα υλοποιεί είναι ο τρόπος με τον οποίο ένα μικρό πρόβλημα εξουσιοδότησης γίνεται παράθυρο αλλαγής χωρίς αποτέλεσμα.