NPS-i grupipoliitika ei ole VPN-i ressursside jõustamine

Kaks gruppi, kaks juurdepääsuprofiili, üks VPN-i lüüs ja lõpuks jõuavad mõlemad grupid samadele serveritele. Tavaline põhjus ei ole katkine poliitika, vaid puuduv teine pool kavandist: NPS otsustab, kes tohib seansi luua, ja miski muu peab otsustama, kuhu see seanss tohib jõuda. Kui on olemas ainult esimene pool, õnnestub autoriseering kõigil, kes autendivad end. Poliitika teeb oma tööd ja kavand on endiselt puudulik.

Grupiga sobiv võrgupoliitika on tõend vastuvõtu kohta. See ei ole tõend pakettide kohta ja lünk nende kahe väite vahel on koht, kus suurem osa sellest tööst aset leiab.

Leidke poliitika, mis seansi tegelikult vastu võttis

NPS hindab järjestatud võrgupoliitikaid ja võidab esimene lubatud reegel, mille tingimused sobivad. Tingimused võivad hõlmata kasutaja või arvuti grupiliikmelisust, ühenduse tüüpi, aega ja seadme olekut. Seetõttu lubab loendis varem paiknev lai poliitika ühendust enne, kui allpool olevat kitsamat reeglit üldse kaalutakse. Järjekord ei ole liidese detail; järjekord on poliitika.

Lugege loendit järjekorras ja tuvastage sobiv, seejärel märkige, millised seaded see tagastas. Redaktori grupinimi ei ole tulemus; tulemus on autoriseering, mille server sai. Hoidke kasutaja autoriseering ja seadme autoriseering lahus seal, kus juurutus kasutab mõlemat, sest kontole, kes tohib tunnelit avada, ei ole automaatselt konto, mis peaks jõudma igasse sisemisse teenusesse.

RADIUS-e vastus on juhis, mitte filter

Atribuut Filter-Id kannab filtriloendi nime. See ei edasta teisaldatavat paketifiltrite reeglistikku, millest iga vastuvõtja aru saaks, ja nime saatmine, mida lüüs ei ole kunagi defineerinud, ei jõusta üldse midagi. Sama ettevaatlikkus kehtib VLAN-i atribuutide kohta: tunneliseansi määramine VLAN-ile ei ole iseenesest selle kasutaja jaoks marsruuditud juurdepääsureegel.

Siin teeb NPS-i poolel täielikuna näiv kavand vaikselt mitte midagi. Kinnitage lüüsi tarnija dokumentatsioonist, milliseid autoriseerimisatribuute toetatakse ja mida vastuvõtja igaühega teeb, selle asemel et eeldada, et standardne atribuudinimi tähendab standardset käitumist.

Paigutage jõustamine sinna, kus liiklus läbib

Lüüs, mis töötleb kasutaja pakette, saab rakendada seansipõhist filtrit, vastendada grupi lüüsi poliitikaga või anda seansile aadressi eraldatud varamust, mida tulemüür käsitleb teisiti. Ükskõik milline neist võib töötada ja need nurjuvad erineval viisil. Tehke kindlaks, millist mehhanismi teie lüüs toetab, enne kui kirjutate poliitika, mis selle nimetab. Seejärel kirjutage üles, mis juhtub seansiga, kui see mehhanism puudub, sest vaikus on vaikeväärtus.

Kirjeldage kavandatud luba neljas osas: allika identiteet või grupp, sihtkoht, protokoll ja port. Lisage sõltuvused, mida kasutaja tõesti vajab, näiteks DNS või autentimisteenus, muidu rikub piirang sisselogimisvoogusid, mida keegi ei tulnud mõttele testida. Kirjutage reegel selle liidese vastu, mis tegelikult filtreerib, mitte selle liidese vastu, mis juhtumisi on redaktoris avatud.

Arvestage ka tõlkega. Kui allavoolu tulemüür näeb iga tunnelikasutaja kohta üht tõlgitud lähteaadressi, ei suuda see üksikisikuid ainult selle aadressi põhjal eristada, ja reegel, mis on kirjutatud nii, nagu suudaks, on kas kasutu või liiga lai.

Kliendiprofiilid elavad mitteusaldusväärsel poolel

Hallatav VPN-i profiil võib lükata marsruute, jagatud tunneli reegleid või rakendusefiltreid ja need kujundavad, kuidas hästi kasvatatud seade käitub. Need ei ole teenuse kaitse, sest klient on osapool, keda te püüate piirata. Marsruudi eemaldamine profiilist ei ole samuti autoriseering, kuna kliendil võib olla teine tee samasse sihtkohta.

Käsitlege kliendiseadeid mugavusena ja lüüsi seadeid kontrollina. Kui need kaks lähevad vastuollu, on lüüs õige, sest tema on see, kes pakette näeb.

Võtke vastu kahe kontoga, seejärel jälgige järjekorras

Looge kaks tavalist testkontot erinevate kavandatud lubadega, looge värsked seansid ja kontrollige igaühe jaoks kehtivat lüüsi poliitikat. Seejärel testige üht kahjutut lubatud toimingut ja üht konkreetselt keelatud ressurssi. Ebaõnnestunud ping tõestab iseenesest väga vähe, sest ICMP võib olla filtreeritud, samal ajal kui selle taga olev TCP-teenus rõõmsalt vastab.

Kui mõlemad kontod saavad endiselt laia juurdepääsu, jälgige kindlas järjekorras: milline poliitika sobis, millist autoriseeringut vastus kandis ja mida lüüs sellega tegi. Rohkemate NPS-i atribuutide lisamine enne kinnitamist, et vastuvõtja need rakendab, on viis, kuidas väike autoriseerimisprobleem muutub tulemuseta muudatuste aknaks.