Колдонуучуну VPN тобуна кошуу өзү менен эле кирүү бербейт
Топ мүчөлүгү — бир шарт, уруксат эмес. Шлюз эмнени салыштырганын караңыз, кабыл алуу же баш тартуу жазуусун окуңуз жана эки жыйынтыкты текшериңиз.
Каттоо эсеби туура топто, кирүү ийгиликтүү, бирок байланыш баш тартылат же пайдалуу эч нерсеге жетпейт. Адаттагы жооп — бир нерсе бошонгонго чейин колдонуучуну көбүрөөк топко кошуу, ошентип уюмдар билет сурагандан кыйла көп укук берет. Топ мүчөлүгү — авторизация чечиминин бир кирүүсү, чечимдин өзү эмес: шлюз сессия жөнүндө фактыларды жыйнап, иреттелген саясат менен салыштырат, анан гана эмнени кармоого болорун чечет. Башка шарт аткарылбаса, топту өзгөртүү таасир аянтын гана өзгөртөт.
Топ мүчөлүгү — шарт, уруксат эмес
RADIUSта топ авторизация атрибуту катары келет, атрибуттар сессияны сүрөттөйт, уруксат бербейт. Сервер Access-Accept же Access-Reject деп жооп берет; кабыл алганда Filter-Id, Class же RFC 2868 туннель атрибуттарын кошо алат, ал эми аркы тараптагы тармак жабдуусу аларды өндүрүүчүнүн чечими боюнча түшүндүрөт. Протоколдо топту толук кирүүгө айландырган эч нерсе жок; бул дал келтирүүнү шлюзде же тармактык кирүү серверинде саясатты түзгөн адам жазат.
Ошондуктан бирдей топ аталышы эки системада башкача жүрөт. Microsoft NPS тармак саясаттарын шарттардан, чектөөлөрдөн жана жөндөөлөрдөн курап, белгиленген ирети менен баалайт. OpenVPN Access Serverдин өз топ жана кирүү эрежелеринин модели бар, ал эми коомдук OpenVPN сервери бүт суроону client-connect скриптине же client-config-dir файлына тапшырат.
Чечимди дал келген эреже кабыл алат, күткөн топ эмес
Көпчүлүк кыймылдаткычтар биринчи дал келген саясатта же эң так болгонунда токтойт. Эгер 3-саясат баш тартып, 7-саясат уруксат берсе, сессия аны өткөрө турган эрежеге жетпей эле ийгиликсиз болушу мүмкүн. Ирет — NPSте жана тармактык кирүүнү көзөмөлдөө продукцияларынын көбүндө реалдуу жөндөө жана жылдар бою жылат.
Топ менен жүргөн шарттар — экинчи жарымы. Түзмөктүн абалы, аутентификация ыкмасы, бүткөн MFA, булак тармагы, сертификаттын субъектиси же убакыт терезеси ошол эле саясатта болушу мүмкүн. Бирөө аткарылбаса, саясат дал келбейт, кыймылдаткыч төмөн түшөт жана демейки баш тартуу колдонулат. Колдонуучунун ордунан топ элестелгендей; кыймылдаткычтын ордунан топтон суралган эмес.
Каталог деталдары ошол эле элес жаратат. Windows топ мүчөлүгүнө дал келтирген саясат колдонуучунун токениндеги SIDлерди окуйт, ал жерде коопсуздук топтору гана тизмеленет, бөлүштүрүү тобу эч качан чыкпайт. Негизги топ өз талаасында жүрөт, тизмеде эмес, ошондуктан ага бекитилген саясат үнсүз ийгиликсиз болушу мүмкүн.
Топко тийүүдөн мурун кабыл алуу же баш тартуу жазуусун окуңуз
Алгач бир суроо: сурам авторизация баскычына жеттиби? NPSте жооп окуялар журналында, анда 6272 берилген кирүүнү, 6273 баш тартууну, 6274 саясатты баалоого чейин сервер ыргыткан сурамды жазат. Бул үч сан маселени үч башка иликтөөгө бөлөт, бирөө гана топтор жөнүндө.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Журнал жеткиликсиз болсо, серверден түз сурап, жообун окуңуз. Filter-Id жана туннель атрибуттары жок жооп сервер сессияны кадимки деп эсептейт жана шлюз өз эрежелерин колдонот дегенди билдирет. Аткаруу чекити ишке ашырбаган атрибуттары бар жооп — башка кемчилик: авторизация өттү, түзмөк жыйынтыкты этибарга албады.
radtest alice 'password' 10.0.0.5 0 testing123Кайтарылган атрибуттарды шлюз документтегендер менен салыштырыңыз, топ аталышы түшүндүргөн менен эмес. Бул салыштыруу адатта саясат маселесин аткаруу маселесинен ажыратат.
Топту өзгөртүү артка күчүндө болбойт
Авторизация атрибуттары сессия аутентификацияланганда бир жолу кайтарылат. Шлюз аларды сессияда сактайт жана ар бир пакет үчүн каталогду кайра окубайт, ошондуктан бирөөнү топтон чыгаргандан кийин да орнотулган сессия иштей берет.
Өзгөртүү күчүнө кириши үчүн жаңы авторизация чечими керек, жаңы ачкычтар эле эмес. Сервер RFC 5176 динамикалык авторизациясын колдосо, UDP 3799га Disconnect-Request же CoA-Request сессияны кайра баалоого мажбурлайт; болбосо кардарды ажыратып, кайра кошулууга жол бериңиз. Кайра сүйлөшүү туннель ачкычтарын жаңыртат жана авторизация жыйынтыгын адатта козгобойт.
Шартты оңдоңуз, топту эмес
Кайсы саясат иштегенин билгенден кийин оңдоо адатта кичине: күтүлгөн уруксатты жапкан баш тартууну кайра иреттеңиз, көздөгөн саясатка жетпеген түзмөк же MFA шартын кошуңуз, же колдонуучуну дагы онду алып жүргөн топко көтөрүүнүн ордуна бир ресурска тар эреже жазыңыз.
Кыска цикл өзгөртүүнү ак ниет сактайт:
- Баш тартууну баштапкы эсеп менен кайталап, бир нерсени өзгөртүүдөн мурун окуя IDсин жазыңыз.
- Бир объектини өзгөртүңүз, саясат иретин, бир шартты же бир топту, жана кайсынысын жазңыз.
- Жаңы сессия ачып, уруксат журналда көрүнөрүн жана ресурс чындап ачыларын ырастаңыз.
- Дагы баш тартылуучу колдонуучуну текшериңиз, оңдоо саясатты байкабастык менен кеңейтпесин.
Уруксат туура болсо да ресурс ачылбаса, маселе маршруттоого же ат чечүүгө өттү авторизация өткөн учурда. Бул эки кемчиликти бөлүк кармаңыз, кийинки билет жарым күн эмес, мүнөт алат.