NPS-ի խմբային քաղաքականությունը VPN ռեսուրսների պարտադրում չէ

Երկու խումբ, երկու մուտքի պրոֆիլ, մեկ VPN դարպաս, և ի վերջո երկու խմբերն էլ հասնում են նույն սերվերներին։ Սովորական պատճառը ոչ թե կոտրված քաղաքականությունն է, այլ դիզայնի բացակայող երկրորդ կեսը. NPS-ը որոշում է, թե ով կարող է սեսիա հաստատել, և ինչ-որ այլ բան պետք է որոշի, թե այդ սեսիան ինչին կարող է հասնել։ Երբ գոյություն ունի միայն առաջին կեսը, լիազորությունը հաջողվում է բոլոր նրանց համար, ովքեր նույնականացնում են իրենց։ Քաղաքականությունն անում է իր գործը, և դիզայնը դեռ թերի է։

Խմբին համապատասխանող ցանցային քաղաքականությունը ընդունելության մասին ապացույց է։ Այն փաթեթների մասին ապացույց չէ, և այս երկու պնդումների միջև ընկած բացն է, որտեղ տեղի է ունենում այս աշխատանքի մեծ մասը։

Գտեք այն քաղաքականությունը, որն իսկապես ընդունեց սեսիան

NPS-ը գնահատում է դասավորված ցանցային քաղաքականություններ, և հաղթում է առաջին միացված կանոնը, որի պայմանները համընկնում են։ Պայմանները կարող են ներառել օգտատիրոջ կամ համակարգչի խմբի անդամակցությունը, միացման տեսակը, ժամանակը և սարքի վիճակը։ Ուստի ցանկում ավելի վաղ տեղադրված լայն քաղաքականությունը թույլ է տալիս միացումը նախքան ավելի նեղ կանոնը ներքևում ընդհանրապես դիտարկելը։ Հերթականությունը միջերեսի մանրուք չէ. հերթականությունը հենց քաղաքականությունն է։

Կարդացեք ցանկը հերթականությամբ և բացահայտեք համընկնողը, ապա նշեք, թե ինչ կարգավորումներ այն վերադարձրեց։ Խմբի անունը խմբագրիչում արդյունքը չէ. արդյունքը լիազորությունն է, որը ստացել է սերվերը։ Առանձին պահեք օգտատիրոջ լիազորությունը և սարքի լիազորությունը այնտեղ, որտեղ տեղադրումն օգտագործում է երկուսը, քանի որ թունել բացելու իրավունք ունեցող հաշիվը ավտոմատ կերպով այն հաշիվը չէ, որը պետք է հասնի յուրաքանչյուր ներքին ծառայության։

RADIUS պատասխանը հրահանգ է, ոչ ֆիլտր

Filter-Id հատկանիշը կրում է ֆիլտրերի ցանկի անուն։ Այն չի ուղարկում փաթեթների ֆիլտրման կանոնների տեղափոխելի հավաքածու, որը կհասկանա յուրաքանչյուր ստացող, և այնպիսի անուն ուղարկելը, որը դարպասը երբեք չի սահմանել, ընդհանրապես ոչինչ չի պարտադրում։ Նույն զգուշությունը վերաբերում է VLAN հատկանիշներին. թունելային սեսիան VLAN-ին վերագրելը ինքնին երթուղավորված մուտքի կանոն չէ այդ օգտատիրոջ համար։

Այստեղ է, որ NPS-ի կողմում ամբողջական թվացող դիզայնը լուռ ոչինչ չի անում։ Հաստատեք դարպասի մատակարարի փաստաթղթերից, թե որ լիազորության հատկանիշներն են աջակցվում և ինչ է անում ստացողը յուրաքանչյուրի հետ, փոխարենը ենթադրելու, որ ստանդարտ հատկանիշի անունը նշանակում է ստանդարտ վարքագիծ։

Տեղադրեք պարտադրումը այնտեղ, որտեղ անցնում է տրաֆիկը

Դարպասը, որը մշակում է օգտատիրոջ փաթեթները, կարող է կիրառել ֆիլտր յուրաքանչյուր սեսիայի համար, քարտեզագրել խումբը դարպասի քաղաքականությանը, կամ սեսիային տալ հասցե առանձնացված լողավազանից, որը հրապատը այլ կերպ է վերաբերվում։ Այս տարբերակներից ցանկացածը կարող է աշխատել, և դրանք ձախողվում են տարբեր ձևերով։ Որոշեք, թե ձեր դարպասը որ մեխանիզմն է աջակցում, նախքան այն անվանող քաղաքականությունը գրելը։ Ապա գրեք, թե ինչ է պատահում սեսիայի հետ, երբ այդ մեխանիզմը բացակայում է, որովհետև լռությունը լռելյայն վիճակն է։

Նկարագրեք նախատեսված թույլտվությունը չորս մասով: աղբյուրի ինքնությունը կամ խումբը, նպատակակետը, արձանագրությունը և պորտը։ Ավելացրեք այն կախվածությունները, որոնք օգտատերը իսկապես կարիք ունի, օրինակ DNS կամ նույնականացման ծառայություն, հակառակ դեպքում սահմանափակումը կկոտրի մուտքի հոսքերը, որոնք ոչ ոք չի մտածել փորձարկել։ Կանոնը գրեք այն միջերեսի դեմ, որը իսկապես ֆիլտրում է, ոչ այն միջերեսի դեմ, որը պատահաբար բաց է խմբագրիչում։

Հաշվի առեք նաև թարգմանությունը։ Եթե ներքևի հրապատը տեսնում է մեկ թարգմանված աղբյուրի հասցե յուրաքանչյուր թունելի օգտատիրոջ համար, այն չի կարող տարբերել անհատներին միայն այդ հասցեով, և կանոնը, որը գրված է կարծես կարող է, կլինի կա՛մ անօգուտ, կա՛մ չափազանց լայն։

Հաճախորդի պրոֆիլները ապրում են անվստահելի կողմում

Կառավարվող VPN պրոֆիլը կարող է մղել երթուղիներ, բաժանված թունելի կանոններ կամ հավելվածի ֆիլտրեր, և դրանք ձևավորում են, թե ինչպես է վարվում լավ դաստիարակված սարքը։ Դրանք պաշտպանություն չեն ծառայության համար, որովհետև հաճախորդն այն կողմն է, որը դուք փորձում եք սահմանափակել։ Պրոֆիլում երթուղի հեռացնելը նույնպես լիազորություն չէ, քանի որ հաճախորդը կարող է ունենալ այլ ուղի դեպի նույն նպատակակետը։

Հաճախորդի կարգավորումներին վերաբերվեք որպես հարմարավետության, իսկ դարպասի կարգավորումներին՝ որպես վերահսկողության։ Երբ երկուսը տարակարծիք են, դարպասը ճիշտ է, որովհետև հենց նա է տեսնում փաթեթները։

Ընդունեք երկու հաշվով, ապա հետևեք հերթականությամբ

Ստեղծեք երկու սովորական փորձնական հաշիվ տարբեր նախատեսված թույլտվություններով, հաստատեք նոր սեսիաներ և ստուգեք գործող դարպասի քաղաքականությունը յուրաքանչյուրի համար։ Ապա փորձարկեք մեկ անվնաս թույլատրված գործողություն և մեկ հատուկ մերժված ռեսուրս։ Ձախողված ping-ը ինքնին շատ քիչ բան է ապացուցում, քանի որ ICMP-ն կարող է ֆիլտրված լինել, մինչ դրա հետևում գտնվող TCP ծառայությունը ուրախ պատասխանում է։

Երբ երկու հաշիվներն էլ դեռ լայն մուտք են ստանում, հետևեք ֆիքսված հերթականությամբ. ո՞ր քաղաքականությունը համընկավ, ինչ լիազորություն էր կրում պատասխանը, և ինչ արեց դարպասը դրա հետ։ Ավելի շատ NPS հատկանիշներ ավելացնելը նախքան հաստատելը, որ ստացողը դրանք իրականացնում է, այն ճանապարհն է, որով փոքր լիազորության խնդիրը դառնում է առանց արդյունքի փոփոխության պատուհան։