NPS-hópstefna er ekki framfylgni VPN-auðlinda

Tveir hópar, tvö aðgangssnið, ein VPN-gátt, og á endanum ná báðir hópar sömu þjónunum. Venjulega er orsökin ekki brotin stefna heldur vantar seinni helming hönnunarinnar: NPS ákveður hver má koma á setu, og eitthvað annað verður að ákveða hvað sú seta má ná. Þegar aðeins fyrri helmingurinn er til staðar tekst auðkenning fyrir alla sem sannreyna sig. Stefnan sinnir sínu hlutverki, og hönnunin er enn ófullkomin.

Netstefna sem passar við hóp er sönnun um inngöngu. Hún er ekki sönnun um pakkana, og bilið milli þessara tveggja fullyrðinga er þar sem mest af þessu verki fer fram.

Finndu stefnuna sem raunverulega hleypti setunni inn

NPS metur raðaðar netstefnur, og fyrsta virka reglan sem skilyrði hennar passa vinnur. Skilyrði geta falið í sér hópmeðlimi notanda eða tölvu, tegund tengingar, tíma og ástand tækis. Þess vegna hleypir breið stefna sem er ofar á listanum tengingu inn áður en mjórri regla neðar er jafnvel skoðuð. Röðin er ekki smáatriði í viðmótinu; röðin er stefnan.

Lestu listann í röð og greindu þá sem passaði, skráðu síðan hvaða stillingar hún skilaði. Hópnafnið í ritlinum er ekki niðurstaðan; niðurstaðan er auðkenningin sem þjónninn fékk. Haltu auðkenningu notanda og auðkenningu tækis aðskildum þar sem uppsetningin notar bæði, því reikningur sem má opna göng hefur ekki sjálfkrafa rétt á að ná til hverrar innri þjónustu.

Svar RADIUS er fyrirmæli, ekki sía

Eiginleiki Filter-Id ber nafn síulista. Hann flytur ekki flytjanlegt safn pakkasíureglna sem hver viðtakandi skilur, og að senda nafn sem gáttin hefur aldrei skilgreint framfylgir alls engu. Sama varúð á við VLAN-eiginleika: að úthluta göngusetu til VLAN er ekki, eitt og sér, bein útvistuð aðgangsregla fyrir þann notanda.

Hér gerir hönnun sem lítur út fyrir að vera fullkomin á NPS-hliðinni hljóðlaust ekkert. Staðfestu í skjölum gáttarframleiðandans hvaða auðkenningareiginleikar eru studdir og hvað viðtakandinn gerir við hvern þeirra, í stað þess að gera ráð fyrir að staðlað eiginleiksheiti þýði staðlaða hegðun.

Setjið framfylgnina þar sem umferðin fer fram hjá

Gátt sem vinnur úr pökkum notandans getur beitt síu á hverja setu, varpað hópi á stefnu gáttarinnar eða gefið setunni vistfang úr aðskildu laug sem eldveggur meðhöndlar á annan hátt. Hvert þessara getur virkað, og þau mistakast á mismunandi vegu. Greindu hvaða aðferð gáttin þín styður áður en þú skrifar stefnuna sem nefnir hana. Skrifaðu síðan niður hvað verður um setu þegar þessi aðferð er ekki til staðar, því þögn er sjálfgefið gildi.

Lýstu fyrirhuguðu leyfi í fjórum hlutum: auðkenni uppruna eða hópur, áfangastaður, samskiptaregla og port. Bættu við þeim háðum sem notandinn þarf raunverulega, svo sem DNS eða sannvottunarþjónustu, annars brýtur takmörkunin innskráningarflæði sem enginn hugsaði til að prófa. Skrifaðu regluna gagnvart viðmótinu sem síar í raun, ekki gagnvart viðmótinu sem er tilviljunarkennt opið í ritlinum.

Taktu tillit til þýðingar líka. Ef eldveggur neðar sér eitt þýtt upprunavistfang fyrir hvern göngunotanda getur hann ekki greint einstaklinga eingöngu út frá því vistfangi, og regla sem er skrifuð eins og hún gæti það verður annaðhvort gagnslaus eða of breið.

Biðlaraforritssnið lifa á ótraustu hliðinni

Stýrt VPN-snið getur ýtt undir leiðir, reglur um skipt göng eða forritasíur, og þær móta hvernig vel upp alið tæki hegðar sér. Þær eru ekki vernd fyrir þjónustuna, því biðlarinn er sá aðili sem þú ert að reyna að takmarka. Að fjarlægja leið í sniði er heldur ekki auðkenning, þar sem biðlarinn getur haft aðra leið að sama áfangastað.

Meðhöndlaðu stillingar biðlarans sem þægindi og stillingar gáttarinnar sem stjórn. Þegar þær tver greinir á hefur gáttin rétt fyrir sér, því hún er sú sem sér pakkana.

Samþykktu með tveimur reikningum og rekjaðu síðan í röð

Búðu til tvo venjulega prófunarreikninga með ólík fyrirhuguð leyfi, komdu á nýjum setum og athugaðu virka stefnu gáttarinnar fyrir hvorn. Prófaðu síðan eina skaðlausa leyfða aðgerð og eina sérstaklega synjaða auðlind. Misheppnað ping sannar mjög lítið eitt og sér, því ICMP getur verið síað á meðan TCP-þjónustan fyrir aftan svarar glaðlega.

Þegar báðir reikningar fá enn breiðan aðgang skaltu rekja í fastri röð: hvaða stefna passaði, hvaða auðkenningu svarið bar og hvað gáttin gerði við hana. Að bæta við fleiri NPS-eiginleikum áður en staðfest er að viðtakandinn innleiði þá er leiðin sem lítill auðkenningarvandi verður að breytingaglugga án niðurstöðu.