Erabiltzaile bat VPN talde batera gehitzeak ez du sarbidea ematen berez
Taldeko kidetza baldintza bat da, ez baimena. Begiratu zer parekatu duen atebideak, irakurri onarpen edo ukapen erregistroa, eta probatu bi emaitzak.
Kontua talde egokian jarri duzu, saio-hasiera ondo joan da, eta konexioa ukatu egiten da oraindik, edo konektatu eta ez du ezer erabilgarririk lortzen. Ohiko erreakzioa erabiltzailea talde gehiagotara gehitzea da, zerbait amore eman arte, eta horrela erakundeek txartelak eskatu baino askoz gehiago ematen dute. Taldeko kidetza baimen-erabakirako sarrera bat da, inoiz ez erabakia bera: atebideak saioari buruzko hainbat datu biltzen ditu, politika ordenatu batekin parekatzen ditu eta orduan baino ez du erabakitzen saioak zer ukitu dezakeen. Beste baldintza bat huts egin badu, taldea aldatzeak ez du ezer aldatzen zure esposizioaz gain.
Taldeko kidetza baldintza da, ez baimena
RADIUSen taldea baimen-atributu gisa iristen da, eta atributuek saioa deskribatzen dute, ez diote baimenik ematen. Zerbitzariak Access-Accept edo Access-Reject erantzuten du; onartzean Filter-Id, Class edo RFC 2868ko tunel-atributuak erants ditzake, eta beste muturreko sareko ekipoak fabrikatzaileak erabaki bezala interpretatzen ditu. Protokoloan ezerk ez du talde bat sarbide osora mapatzen; mapaketa hori atebidean edo sare-sarbide zerbitzarian politika konfiguratu zuenak idazten du, eta host bakar bat bezain estua izan daiteke.
Horregatik talde-izen berak modu desberdinean jokatzen du bi sistematan. Microsoft NPS sare-politikak baldintzez, murrizketez eta ezarpenaz osatzen ditu eta ezarritako ordenan ebaluatzen ditu. OpenVPN Access Serverrek bere talde- eta sarbide-arau eredua du, eta komunitateko OpenVPN zerbitzariak galdera osoa client-connect script edo client-config-dir fitxategi bati uzten dio sarritan. Bakoitzak talde bat kontsumitzen du; inork ez du bestearen lehentasun-logika partekatzen.
Parekatu zen arauak erabakitzen du, ez espero zenuen taldeak
Motor gehienak bat datozen lehen politikan edo zehatzenean gelditzen dira. Politika 3k ukatzen badu eta politika 7k baimentzen badu, saioak huts egin dezake pasatzen utziko zion araura iritsi gabe. Ordena benetako ezarpena da NPSn eta sare-sarbide kontrol produktu gehienetan, eta urteekin aldatzen da.
Taldearekin batera doazen baldintzak dira beste erdia. Gailuaren egoera, autentifikazio metodoa, MFA osatua, iturburu-sarea, ziurtagiriaren subjektua edo ordutegi-leihoa politika berean egon daitezke. Horietako bat betetzen ez denean, politika ez dator bat, motorra erortzen da eta lehenetsitako ukapena aplikatzen da. Erabiltzailearen tokian taldea baztertu dela dirudi; motorraren tokian taldeari ez zitzaion inoiz galdetu.
Direktorioaren xehetasunek ilusio bera sortzen dute. Windows talde-kidetzarekin bat datorren politikak erabiltzailearen tokeneko SIDak irakurtzen ditu, eta han segurtasun-taldeak baino ez dira zerrendatzen, banaketa-taldea ez da inoiz agertzen. Talde nagusia bere eremuan eramaten da, ez zerrendan, beraz hari finkatutako politikak isilean huts egin dezake.
Irakurri onarpen edo ukapen erregistroa talderen bat ukitu aurretik
Galdetu lehenengo gauza bat: iritsi al zen eskaera baimen-fasera? NPSn erantzuna gertaeren erregistroan dago, non 6272k emandako sarbidea, 6273k ukapena eta 6274k zerbitzariak politika ebaluatu aurretik baztertu zuen eskaera erregistratzen dituen. Hiru zenbaki horiek arazoa hiru ikerketa desberdinetan banatzen dute, eta horietako batek baino ez du taldeekin zerikusirik.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Erregistroa eskura ez dagoenean, galdetu zerbitzariari zuzenean eta irakurri itzultzen duena. Filter-Id eta tunel-atributurik gabeko erantzunak zerbitzariak saioa arruntzat jotzen duela eta atebideak bere arauak aplikatzen dituela esan nahi du. Betearazpen puntuak inplementatzen ez dituen atributuak dituen erantzuna beste hutsegite bat da: baimena pasa zen eta gailuak emaitza baztertu zuen.
radtest alice 'password' 10.0.0.5 0 testing123Konparatu itzulitako atributuak atebideak dokumentatzen dituenekin, ez talde-izenak iradokitzen duenarekin. Konparazio horrek politika-arazoa betearazpen-arazotik bereizten du normalean.
Talde-aldaketa ez da atzeraeraginezkoa
Baimen-atributuak behin itzultzen dira, saioa autentifikatzen denean. Atebideak saioan gordetzen ditu eta ez du direktorioa berriro irakurtzen pakete bakoitzeko, horregatik ezarritako saioak lanean jarraitzen du norbait taldetik kendu ondoren, eta berri batek huts egin dezake zaharrak dirauen bitartean.
Aldaketak eragina izan dezan baimen-erabaki berri bat behar da, ez gako berriak soilik. Zerbitzariak RFC 5176 baimen dinamikoa onartzen badu, UDP 3799rako Disconnect-Request edo CoA-Request batek saioa berriz ebaluatzera behartzen du; bestela deskonektatu bezeroa eta utzi berriro konektatzen. Birnegoziazioak tunel-gakoak berritzen ditu eta normalean baimen-emaitza ukitu gabe uzten du.
Konpondu baldintza, ez taldea
Zein politikak jo zuen jakinda, konponketa txikia izan ohi da: berrordenatu nahi zen baimena estaltzen duen ukapen bat, gehitu falta den gailu- edo MFA-baldintza nahi zenuen politikari, edo idatzi arau estua baliabide bakarrerako, erabiltzailea beste hamar daramatzan talde batera igotzearen ordez.
Begizta labur batek aldaketa zintzo mantentzen du:
- Erreproduzitu ukapena jatorrizko kontuarekin eta idatzi gertaeraren IDa ezer aldatu aurretik.
- Aldatu objektu bakarra, politika-ordena, baldintza bat edo talde bat, eta idatzi zein.
- Ireki saio berria, egiaztatu baimena erregistroan agertzen dela eta baliabidea benetan irekitzen dela.
- Probatu oraindik ukatu behar litzatekeen erabiltzaile bat, konponketak politika nahi gabe zabaldu ez dezan.
Baimena zuzena bada eta baliabidea ez bada irekitzen, arazoa bideratze edo izen-ebazpenera aldatu da baimena pasa zen unean. Eutsi bi hutsegiteak bereizita eta hurrengo txartelak minutu batzuk hartuko ditu, ez arratsalde osoa.