Az NPS-csoportházirend nem VPN-erőforrás-kényszerítés

Két csoport, két hozzáférési profil, egy VPN-átjáró, és a végén mindkét csoport ugyanazokat a kiszolgálókat éri el. A szokásos ok nem a hibás házirend, hanem a tervezés hiányzó második fele: az NPS eldönti, ki létesíthet munkamenetet, és valami másnak kell eldöntenie, mit érhet el ez a munkamenet. Ha csak az első fele létezik, a jogosítás minden hitelesítő fél számára sikerül. A házirend végzi a dolgát, a tervezés viszont továbbra is hiányos.

A csoporthoz illeszkedő hálózati házirend a beengedésről szóló bizonyíték. Nem bizonyíték a csomagokról, és e két állítás közötti rés az, ahol e munka nagy része zajlik.

Keresse meg a házirendet, amely ténylegesen beengedte a munkamenetet

Az NPS sorrendbe állított hálózati házirendeket értékel, és az első engedélyezett szabály nyer, amelynek feltételei illeszkednek. A feltételek között szerepelhet felhasználói vagy számítógép-csoporttagság, kapcsolattípus, idő és eszközállapot. Ezért egy korábban a listán szereplő széles házirend beengedi a kapcsolatot, mielőtt a lejjebb lévő szűkebb szabályt egyáltalán megvizsgálnák. A sorrend nem a felület részlete; a sorrend maga a házirend.

Olvassa végig a listát sorrendben, és azonosítsa az illeszkedőt, majd jegyezze fel, milyen beállításokat adott vissza. A szerkesztőben látható csoportnév nem az eredmény; az eredmény az a jogosítás, amelyet a kiszolgáló kapott. Tartsa külön a felhasználói és az eszközjogosítást ott, ahol a telepítés mindkettőt használja, mert az a fiók, amely alagutat nyithat, nem automatikusan olyan fiók, amelynek minden belső szolgáltatást el kellene érnie.

A RADIUS-válasz utasítás, nem szűrő

A Filter-Id attribútum egy szűrőlista nevét hordozza. Nem szállít olyan hordozható csomagszűrő-szabálykészletet, amelyet minden címzett megértene, és egy olyan név elküldése, amelyet az átjáró soha nem definiált, egyáltalán nem érvényesít semmit. Ugyanez az óvatosság vonatkozik a VLAN-attribútumokra: egy alagút-munkamenet VLAN-hoz rendelése önmagában nem irányított hozzáférési szabály ahhoz a felhasználóhoz.

Itt az NPS oldalán teljesnek látszó tervezés csendesen semmit sem tesz. Erősítse meg az átjáró gyártójának dokumentációjából, mely jogosítási attribútumokat támogatja, és mit tesz a címzett mindegyikkel, ahelyett hogy feltételezné, hogy egy szabványos attribútumnév szabványos viselkedést jelent.

Helyezze az érvényesítést oda, ahol a forgalom elhalad

Az az átjáró, amely a felhasználó csomagjait feldolgozza, alkalmazhat munkamenetenkénti szűrőt, leképezhet egy csoportot átjáróházirendre, vagy adhat a munkamenetnek egy elkülönített készletből származó címet, amelyet a tűzfal másként kezel. Bármelyik működhet, és különböző módokon hibáznak. Határozza meg, melyik mechanizmust támogatja az átjárója, mielőtt megírja az azt megnevező házirendet. Ezután írja le, mi történik a munkamenettel, ha ez a mechanizmus hiányzik, mert a csend az alapértelmezett.

Írja le a szándékolt engedélyt négy részben: forrásazonosság vagy csoport, cél, protokoll és port. Adja hozzá azokat a függőségeket, amelyekre a felhasználónak valóban szüksége van, például a DNS-t vagy egy hitelesítési szolgáltatást, különben a korlátozás megtöri azokat a bejelentkezési folyamatokat, amelyeket senki nem gondolt tesztelni. A szabályt ahhoz a felülethez írja, amely valóban szűr, nem ahhoz, amely véletlenül nyitva van a szerkesztőben.

Vegye figyelembe a címfordítást is. Ha egy lejjebbi tűzfal minden alagút-felhasználó számára egyetlen lefordított forráscímet lát, nem tud egyéneket megkülönböztetni pusztán ebből a címből, és egy olyan szabály, amely úgy íródott, mintha tudna, haszontalan vagy túl széles lesz.

Az ügyfélprofilok a nem megbízható oldalon élnek

Egy felügyelt VPN-profil útvonalakat, osztott alagút szabályokat vagy alkalmazásszűrőket tolhat ki, és ezek formálják, hogyan viselkedik egy jól nevelt eszköz. Ezek nem a szolgáltatás védelmét szolgálják, mert az ügyfél az a fél, amelyet korlátozni próbál. Egy útvonal eltávolítása egy profilból szintén nem jogosítás, mivel az ügyfélnek lehet más útvonala ugyanahhoz a célhoz.

Kezelje az ügyfélbeállításokat kényelemként, az átjáró beállításait pedig kontrollként. Amikor a kettő ellentmond, az átjárónak van igaza, mert ő az, aki látja a csomagokat.

Fogadjon el két fiókkal, majd kövesse sorrendben

Hozzon létre két közönséges tesztfiókot eltérő szándékolt engedélyekkel, létesítsen friss munkameneteket, és ellenőrizze mindegyiknél az érvényes átjáróházirendet. Ezután teszteljen egy ártalmatlan engedélyezett műveletet és egy kifejezetten megtagadott erőforrást. Egy sikertelen ping önmagában nagyon keveset bizonyít, mivel az ICMP szűrve lehet, miközben a mögötte lévő TCP-szolgáltatás vidáman válaszol.

Amikor mindkét fiók még mindig széles hozzáférést kap, kövesse rögzített sorrendben: melyik házirend illeszkedett, milyen jogosítást hordozott a válasz, és mit tett vele az átjáró. További NPS-attribútumok hozzáadása annak megerősítése előtt, hogy a címzett megvalósítja őket, az az út, amelyen egy kis jogosítási probléma eredmény nélküli változási ablakká válik.