NPS-ryhmäkäytäntö ei ole VPN-resurssien valvontaa

Kaksi ryhmää, kaksi käyttöprofiilia, yksi VPN-yhdyskäytävä, ja lopulta molemmat ryhmät pääsevät samoille palvelimille. Tavallinen syy ei ole rikkinäinen käytäntö vaan suunnittelusta puuttuva toinen puolisko: NPS päättää, kuka saa muodostaa istunnon, ja jonkin muun on päätettävä, mihin tämä istunto saa päästä. Kun vain ensimmäinen puolisko on olemassa, valtuutus onnistuu kaikille, jotka todentavat itsensä. Käytäntö tekee tehtävänsä, ja suunnittelu on yhä puutteellinen.

Ryhmään osuva verkkokäytäntö on todiste sisäänpääsystä. Se ei ole todiste paketeista, ja näiden kahden väitteen välinen kuilu on paikka, jossa suurin osa tästä työstä tapahtuu.

Etsi käytäntö, joka todella päästi istunnon sisään

NPS arvioi järjestettyjä verkkokäytäntöjä, ja ensimmäinen käytössä oleva sääntö, jonka ehdot täsmäävät, voittaa. Ehdot voivat sisältää käyttäjän tai tietokoneen ryhmäjäsenyyden, yhteyden tyypin, ajan ja laitteen tilan. Siksi luettelossa aiemmin oleva laaja käytäntö päästää yhteyden sisään ennen kuin alempana olevaa kapeampaa sääntöä edes harkitaan. Järjestys ei ole käyttöliittymän yksityiskohta; järjestys on käytäntö.

Lue luettelo järjestyksessä ja tunnista täsmännyt, kirjaa sitten, mitkä asetukset se palautti. Editorin ryhmän nimi ei ole tulos; tulos on valtuutus, jonka palvelin sai. Pidä käyttäjän valtuutus ja laitteen valtuutus erillään siellä, missä käyttöönotto käyttää molempia, koska tili, joka saa avata tunnelin, ei automaattisesti ole tili, jonka pitäisi päästä jokaiseen sisäiseen palveluun.

RADIUS-vastaus on ohje, ei suodatin

Määrite Filter-Id kantaa suodatinluettelon nimeä. Se ei toimita siirrettävää pakettisuodatussääntöjen joukkoa, jonka jokainen vastaanottaja ymmärtäisi, eikä nimen lähettäminen, jota yhdyskäytävä ei ole koskaan määritellyt, valvo yhtään mitään. Sama varovaisuus koskee VLAN-määritteitä: tunnelistunnon osoittaminen VLANille ei sinänsä ole reititetty käyttösääntö kyseiselle käyttäjälle.

Tässä NPS:n puolella valmiilta näyttävä suunnittelu ei hiljaa tee mitään. Varmista yhdyskäytävän toimittajan dokumentaatiosta, mitä valtuutusmääritteitä tuetaan ja mitä vastaanottaja tekee kullakin, sen sijaan että olettaisit vakiomääritenimen tarkoittavan vakiokäyttäytymistä.

Sijoita valvonta sinne, missä liikenne kulkee

Yhdyskäytävä, joka käsittelee käyttäjän paketit, voi soveltaa istuntokohtaista suodatinta, kartoittaa ryhmän yhdyskäytävän käytäntöön tai antaa istunnolle osoitteen eristetystä altaasta, jota palomuuri kohtelee eri tavalla. Mikä tahansa näistä voi toimia, ja ne epäonnistuvat eri tavoin. Selvitä, mitä mekanismia yhdyskäytäväsi tukee, ennen kuin kirjoitat sen nimeävän käytännön. Kirjoita sitten muistiin, mitä istunnolle tapahtuu, kun tämä mekanismi puuttuu, koska hiljaisuus on oletus.

Kuvaile aiottu käyttöoikeus neljässä osassa: lähteen identiteetti tai ryhmä, kohde, protokolla ja portti. Lisää riippuvuudet, joita käyttäjä todella tarvitsee, kuten DNS tai todennuspalvelu, muuten rajoitus rikkoo kirjautumisvirrat, joita kukaan ei tullut ajatelleeksi testata. Kirjoita sääntö sitä rajapintaa vasten, joka todella suodattaa, ei sitä rajapintaa vasten, joka sattuu olemaan auki editorissa.

Ota huomioon myös osoitteenmuunnos. Jos alempana oleva palomuuri näkee yhden muunnetun lähdeosoitteen jokaiselle tunnelin käyttäjälle, se ei voi erottaa yksilöitä pelkän osoitteen perusteella, ja sääntö, joka on kirjoitettu ikään kuin voisi, on joko hyödytön tai liian laaja.

Asiakasprofiilit elävät epäluotetulla puolella

Hallittu VPN-profiili voi työntää reittejä, jaetun tunnelin sääntöjä tai sovellussuodattimia, ja ne muovaavat sitä, miten hyvin kasvatettu laite käyttäytyy. Ne eivät ole palvelun suoja, koska asiakas on osapuoli, jota yrität rajoittaa. Reitin poistaminen profiilista ei myöskään ole valtuutus, koska asiakkaalla voi olla toinen polku samaan kohteeseen.

Käsittele asiakasasetuksia mukavuutena ja yhdyskäytävän asetuksia valvontana. Kun kaksi on eri mieltä, yhdyskäytävä on oikeassa, koska se näkee paketit.

Hyväksy kahdella tilillä ja jäljitä sitten järjestyksessä

Luo kaksi tavallista testitiliä erilaisilla aiotuilla käyttöoikeuksilla, muodosta tuoreet istunnot ja tarkista kummankin voimassa oleva yhdyskäytäväkäytäntö. Testaa sitten yksi vaaraton sallittu toimenpide ja yksi nimenomaisesti kielletty resurssi. Epäonnistunut ping todistaa itsessään hyvin vähän, koska ICMP voi olla suodatettu, kun taas sen takana oleva TCP-palvelu vastaa iloisesti.

Kun molemmat tilit saavat yhä laajan pääsyn, jäljitä kiinteässä järjestyksessä: mikä käytäntö täsmäsi, mitä valtuutusta vastaus kantoi ja mitä yhdyskäytävä teki sillä. Lisää NPS-määritteitä ennen kuin varmistat, että vastaanottaja toteuttaa ne, on tapa, jolla pieni valtuutusongelma muuttuu tuloksettomaksi muutosikkunaksi.