NPS-groepsbelied is gjin hanthavening fan VPN-boarnen

Twa groepen, twa tagongsprofylen, ien VPN-gateway, en úteinlik berikke beide groepen deselde servers. De gewoane reden is net in brutsen belied, mar in ûntbrekkende twadde helte fan it ûntwerp: NPS beslút wa’t in sesje fêstigje mei, en eat oars moat beslute wat dy sesje berikke mei. As allinnich de earste helte bestiet, slagget autorisaasje foar elkenien dy’t autentisearret. It belied docht syn wurk, en it ûntwerp is noch altyd ûnfolslein.

In netwurkbelied dat by in groep past is bewiis oer talitting. It is gjin bewiis oer pakketten, en it gat tusken dy twa útspraken is dêr’t it measte fan dit wurk bart.

Fyn it belied dat de sesje eins talitten hat

NPS evaluearret oardere netwurkbeliedsregels, en de earste ynskekele regel wêrfan de betingsten oerienkomme wint. Betingsten kinne groepslidmaatskip fan brûker of kompjûter, ferbiningstype, tiid en apparaatstatus omfetsje. Dêrom lit in breed belied dat earder yn ’e list stiet in ferbining ta foar’t in smeller regel leger yn ’e list sels besjoen wurdt. De oarder is gjin detail fan ’e ynterface; de oarder is it belied.

Lês de list yn oarder en identifisearje dy’t oerienkaam, en skriuw dan op hokker ynstellings it weromjoech. De groepsnamme yn ’e bewurker is net it resultaat; it resultaat is de autorisaasje dy’t de server krige. Hâld brûkersautorisaasje en apparaatautorisaasje skieden dêr’t de ynset beide brûkt, want in akkount dat in tunnel iepenje mei is net automatysk in akkount dat elke ynterne tsjinst berikke moat.

It RADIUS-antwurd is in opdracht, gjin filter

In Filter-Id-attribút draacht de namme fan in filterlist. It leveret gjin draachber set pakketfilterregels dy’t elke ûntfanger ferstiet, en in namme stjoere dy’t de gateway nea definiearre hat twingt hielendal neat ôf. Deselde foarsichtigens jildt foar VLAN-attributen: in tunnelsesje oan in VLAN taheapje is op himsels gjin rûtearre tagongsregel foar dy brûker.

Hjir docht in ûntwerp dat oan ’e NPS-kant folslein liket stilwei neat. Befêstigje mei de dokumintaasje fan ’e gateway-leveransier hokker autorisaasje-attributen stipe wurde en wat de ûntfanger mei elk docht, ynstee fan oan te nimmen dat in standertattribútnamme standertgedrach betsjut.

Set de hanthavening dêr’t it ferkear lâns giet

In gateway dy’t de pakketten fan ’e brûker ferwurket kin in filter per sesje tapasse, in groep oan in gateway-belied keppelje, of de sesje in adres jaan út in apart hold dat in firewall oars behannelet. Elk fan dy kin wurkje, en se falle op ferskate manieren ôf. Bepaal hokker meganisme jo gateway stipet foar’t jo it belied skriuwe dat it neamt. Skriuw dan op wat der mei in sesje bart as dat meganisme ûntbrekt, want stilte is de standert.

Beskriuw de bedoelde tastimming yn fjouwer dielen: boarne-identiteit of groep, bestimming, protokol en poarte. Foegje de ôfhinklikheden ta dy’t de brûker wier nedich hat, lykas DNS of in autentikaasjetsjinst, oars sil de beheining oanmeldstreamen brekke dêr’t nimmen oan tocht hat om te testen. Skriuw de regel tsjin ’e ynterface dy’t wier filteret, net tsjin ’e ynterface dy’t tafallich iepen is yn ’e bewurker.

Hâld ek rekken mei oersetting. As in firewall streamôf ien oerset boarne-adres foar elke tunnelbrûker sjocht, kin it persoanen net allinnich oan dat adres ûnderskiede, en in regel skreaun as koe it dat wol, sil of nutteloas of te breed wêze.

Kliïntprofilen wenje oan ’e net-tefertrouwen kant

In beheard VPN-profyl kin rûtes, regels foar splitst tunnel of applikaasjefilters triuwe, en dy foarmje hoe’t in goed opfiede apparaat him hâldt en draacht. Se binne gjin beskerming foar de tsjinst, want de kliïnt is de partij dy’t jo besykje te beheinen. In rûte yn in profyl fuorthelje is ek gjin autorisaasje, om’t in kliïnt in oare paad nei deselde bestimming hawwe kin.

Behannel kliïntynstellings as gemak en gateway-ynstellings as kontrôle. As de twa fan miening ferskille, hat de gateway gelyk, want hy is dejinge dy’t de pakketten sjocht.

Akseptearje mei twa akkounts, folgje dan yn oarder

Meitsje twa gewoane testakkounts mei ferskillende bedoelde tastimmings, fêstigje nije sesjes en kontrolearje it effektive gateway-belied foar elk. Test dan ien harmless talitten operaasje en ien spesifyk wegere boarne. In mislearre ping bewiist op himsels hiel lyts bytsje, want ICMP kin filtere wurde wylst de TCP-tsjinst dêrefter noflik antwurdet.

As beide akkounts noch breed tagong krije, folgje in fêste oarder: hokker belied oerienkaam, hokker autorisaasje it antwurd droech en wat de gateway dêrmei die. Mear NPS-attributen tafoegje foar’t jo befêstigje dat de ûntfanger se útfiert is de manier wêrop in lyts autorisaasjeprobleem in feroaringsfinster sûnder resultaat wurdt.