NPS RADIUS кардары катары кайсы даректи каттайсыз?

Аутентификацияны Windows NPSке өткөрүп берүүчү VPN шлюзуна колдонуучу саясаты иштегенге чейин NPS тарапта бир объект керек: шлюз үчүн RADIUS кардарынын жазуусу. Ийгиликсиз аракеттердин көбү туура эмес даректи каттайт, анткени маанилүү дарек шлюз өзүнүн backend жолунда колдонгон дарек, кызматкерлер VPN колдонмосуна терип жазган хост аты эмес. Бул маани туура эмес болсо, NPS сурамды үнсүз таштайт, бул кардар тараптан туура эмес сырсөздөй көрүнөт. Талаага кайсы дарек кирерин үч шарт чечет, ошондуктан консолду ачардан мурун аларды тактап алыңыз.

Шлюзду каттаңыз, ноутбуктарды же пулду эмес

RADIUS кардары объектиси аутентификация сурамдарын жөнөтүүчү тармакка кирүү түзмөгүн билдирет. Бул VPN шлюзу, кардарды иштеткен ар бир ноутбук эмес жана туннелдердин ичинде бөлүнүүчү даректер диапазону да эмес.

Ал туннель даректери эч качан RADIUS сурамынын булагы катары көрүнбөйт, анткени сурам шлюздун өзүнүн тармак жолу менен өтөт. Кардарлар пулунун жазуусун каттоо эч качан дал келбеген саясат жаратат, ал эми чыныгы сурам NPS эч качан укпаган даректен келет. Ошол эле чаташуу адамдарды ар бир кызматкердин үй IPсин кошууга алып барат, бул бир эле учурда тейленбейт жана туура эмес.

Киргизген дарегиңизди үч шарт чечет

Биринчиден, шлюз NPS тарапка чынында колдонгон булак дарегин табыңыз. Көп интерфейстүү шлюз көбүнчө өзүнүн ачык VPN угуучусунан эмес, башкаруу же backend интерфейсинен жөнөтөт. Экинчиден, экөөнүн ортосунда NAT барбы текшериңиз: сурам которулса, NPS которулган даректи көрөт, катталуучу маани ошол. Үчүнчүдөн, эки шлюз ролду бөлүшсө, ар бир сурам булагына өзүнүн кардар жазуусу керек, анткени бир дареги бар бир объект алардын бирин гана камтыйт.

Эки учу бар жазуу жупту тартипте кармайт. Төмөнкү таблица мисал катары жеке даректерди колдонот, ошондуктан аларды жолуңуз чынында колдонгондору менен алмаштырыңыз.

Болжолдобой, булакты ырастаңыз. Бир аракет учурунда NPS же firewall журналын караңыз, же NPS хостуна sudo tcpdump -ni any udp port 1812 менен кармап алыңыз. Ошол кармоодо берилген дарек кардар жазуусу үчүн коргоого боло турган жалгыз жооп. Шлюздун бир нече мүмкүн болгон булагы болсо, ар бирин өзүнүн достук аты менен каттаңыз.

Жалпы сыр шлюз менен NPS ортосундагы маани

Жалпы сыр түзмөктөрдүн ортосундагы байланышты текшерет. Ал колдонуучунун сырсөзү эмес жана эч качан кызматкерлерге таратылбайт же кардар профилдерине салынбайт.

Бир маани тандаңыз, аны эки жерге киргизиңиз жана шлюздун конфигурация камдык көчүрмөсү турган жерде сактаңыз. Дал келбестик NPS пайдалуу катасыз таштаган сурам жаратат, ал эми бул шлюз журналында жеткиликсиз серверден айырмаланбайт. Аны тейлөө терезесинде алмаштырып, эки учун ошол эле өзгөртүүдө жаңыртыңыз.

Бир уруксат берилген сурам менен ырастаңыз

Көзөмөлдөнгөн эсепти колдонуңуз жана эки тарапта бир аракетти дал келтириңиз. Шлюзде сурамдын көздөлгөн серверге кеткенин ырастаңыз; NPSте анын катталган кардардан келгенин жана күтүлгөн туташуу сурамы саясатына туура келгенин ырастаңыз. Убакыттын бүтүшү жана четке кагуу ар башка нерсени билдирет, экөөнү тең эсептик маалымат көйгөйү деп кароо кийинки саатты текке кетирет. Анан жарактуу, бирок укугу жок эсепти жана туура эмес сырсөздү сынап көрүңүз, анткени баарын кабыл алган саясат биринчи сыноодон да өтөт.

Акырында, шлюз кайтарылган авторизация менен эмне кыларын текшериңиз. RADIUS кардарын каттоо түзмөккө катышууга гана уруксат берет; ал пайда болгон ар бир сессияга LANга кирүү укугун бербейт.

Диагностикалык чыгышты чектелүү кармаңыз: жалпы сырлар жок, колдонуучу сырсөздөрү жок, колдоо билетинде толук пакет жүктөрү жок. Эгер долбоор NPS сервери каталог атрибуттарын окушун талап кылса, бул уруксат кардарды каттоодон өзүнчө административдик тапшырма жана ал жок болгондо башкача ийгиликсиз болот.