NPS топтық саясаты VPN ресурстарын мәжбүрлеу емес

Екі топ, екі қатынау профилі, бір VPN шлюзі, және соңында екі топ та бірдей серверлерге жетеді. Әдеттегі себеп бұзылған саясат емес, дизайнның жетіспейтін екінші жартысы: NPS сеансты кім орната алатынын шешеді, ал осы сеанс қайда жете алатынын басқа нәрсе шешуі керек. Тек бірінші жартысы болғанда, авторизация аутентификациядан өткен әркім үшін сәтті болады. Саясат өз жұмысын істеп жатыр, ал дизайн әлі толық емес.

Топқа сәйкес келетін желілік саясат қабылдау туралы дәлел. Бұл пакеттер туралы дәлел емес, және осы екі тұжырымның арасындағы алшақтық — осы жұмыстың көп бөлігі болатын жер.

Сеансты шынымен қабылдаған саясатты табыңыз

NPS реттелген желілік саясаттарды бағалайды, және шарттары сәйкес келетін бірінші қосылған ереже жеңеді. Шарттар пайдаланушы немесе компьютер тобының мүшелігін, қосылым түрін, уақытты және құрылғы күйін қамтуы мүмкін. Сондықтан тізімде ертерек орналасқан кең саясат төмендегі тар ереже қарастырылмай тұрып қосылымды қабылдайды. Реттілік интерфейстің бөлшегі емес; реттілік — саясаттың өзі.

Тізімді ретімен оқып, сәйкес келгенін анықтаңыз, содан кейін ол қандай параметрлерді қайтарғанын жазып алыңыз. Редактордағы топ атауы нәтиже емес; нәтиже — сервер алған авторизация. Орналастыру екеуін де қолданатын жерде пайдаланушы авторизациясын және құрылғы авторизациясын бөлек ұстаңыз, өйткені туннель аша алатын тіркелгі автоматты түрде әрбір ішкі қызметке жетуі тиіс тіркелгі емес.

RADIUS жауабы — нұсқау, сүзгі емес

Filter-Id атрибуты сүзгілер тізімінің атауын тасымалдайды. Ол әрбір қабылдаушы түсінетін пакет сүзгілеу ережелерінің тасымалданатын жиынтығын жібермейді, ал шлюз ешқашан анықтамаған атауды жіберу ештеңе орындамайды. Дәл осы сақтық VLAN атрибуттарына да қатысты: туннель сеансын VLAN-ға тағайындау өздігінен сол пайдаланушы үшін маршрутталған қатынау ережесі емес.

Дәл осы жерде NPS жағында толық көрінетін дизайн үнсіз ештеңе жасамайды. Шлюз жеткізушісінің құжаттамасынан қандай авторизация атрибуттары қолдау табады және қабылдаушы олардың әрқайсысымен не істейді, соны растаңыз, стандартты атрибут атауы стандартты әрекетті білдіреді деп болжаудың орнына.

Орындауды трафик өтетін жерге қойыңыз

Пайдаланушының пакеттерін өңдейтін шлюз әр сеанс үшін сүзгі қолдана алады, топты шлюз саясатына сәйкестендіре алады немесе сеансқа брандмауэр өзгеше қарайтын оқшауланған пулдан мекенжай бере алады. Осылардың кез келгені жұмыс істеуі мүмкін, және олар әртүрлі жолдармен сәтсіздікке ұшырайды. Саясатты жазбас бұрын шлюзіңіз қай механизмді қолдайтынын анықтаңыз. Содан кейін сол механизм болмағанда сеансқа не болатынын жазыңыз, өйткені үнсіздік — әдепкі күй.

Мақсатты рұқсатты төрт бөлікте сипаттаңыз: дереккөз идентификаторы немесе топ, межелі орын, хаттама және порт. Пайдаланушыға шынымен қажет тәуелділіктерді қосыңыз, мысалы DNS немесе аутентификация қызметі, әйтпесе шектеу ешкім тексеруді ойламаған кіру ағындарын бұзады. Ережені шынымен сүзетін интерфейске қарсы жазыңыз, редакторда кездейсоқ ашық тұрған интерфейске қарсы емес.

Мекенжай аудармасын да ескеріңіз. Егер төмендегі брандмауэр әрбір туннель пайдаланушысы үшін бір аударылған дереккөз мекенжайын көрсе, ол тек сол мекенжайдан жеке адамдарды ажырата алмайды, ал ажырата алатындай жазылған ереже не пайдасыз, не тым кең болады.

Клиент профильдері сенімсіз жақта өмір сүреді

Басқарылатын VPN профилі маршруттарды, бөлінген туннель ережелерін немесе қолданба сүзгілерін итеруі мүмкін, және олар тәрбиелі құрылғының қалай әрекет ететінін қалыптастырады. Олар қызметті қорғау емес, өйткені клиент — сіз шектеуге тырысып жатқан тарап. Профильдегі маршрутты жою да авторизация емес, өйткені клиенттің сол межелі орынға басқа жолы болуы мүмкін.

Клиент параметрлерін ыңғайлылық, ал шлюз параметрлерін бақылау деп қараңыз. Екеуі қайшы келсе, шлюз дұрыс, өйткені пакеттерді көретін — сол.

Екі тіркелгімен қабылдаңыз, содан кейін ретімен бақылаңыз

Әртүрлі мақсатты рұқсаттары бар екі қарапайым сынақ тіркелгісін жасап, жаңа сеанстар орнатыңыз және әрқайсысы үшін әрекеттегі шлюз саясатын тексеріңіз. Содан кейін бір зиянсыз рұқсат етілген операцияны және арнайы тыйым салынған ресурсты сынап көріңіз. Сәтсіз ping өздігінен өте азды дәлелдейді, өйткені ICMP сүзілген болуы мүмкін, ал артындағы TCP қызметі қуана жауап береді.

Екі тіркелгі де әлі де кең қатынау алса, бекітілген ретпен бақылаңыз: қай саясат сәйкес келді, жауап қандай авторизация тасымалдады және шлюз онымен не істеді. Қабылдаушы оларды іске асыратынын растамас бұрын қосымша NPS атрибуттарын қосу — шағын авторизация мәселесінің нәтижесіз өзгеріс терезесіне айналатын жолы.