NPS топтук саясаты VPN ресурстарын аткаруу эмес

Эки топ, эки кирүү профили, бир VPN шлюзу, жана акырында эки топ тең ошол эле серверлерге жетет. Кадимки себеп бузулган саясат эмес, долбоордун жок болгон экинчи жарымы: NPS сеансты ким түзө аларын чечет, ал эми бул сеанс эмнеге жете аларын башка нерсе чечиши керек. Бир гана биринчи жарымы болгондо, аутентификациядан өткөн ар бир адам үчүн авторизация ийгиликтүү болот. Саясат өз ишин аткарып жатат, ал эми долбоор дагы эле толук эмес.

Топко дал келген тармак саясаты кабыл алуу жөнүндө далил. Бул пакеттер жөнүндө далил эмес, жана бул эки бекемдөөнүн ортосундагы ажырым ушул иштин көп бөлүгү болгон жер.

Сеансты чындыгында кабыл алган саясатты табыңыз

NPS иреттелген тармак саясаттарын баалайт, жана шарттары дал келген биринчи күйгүзүлгөн эреже жеңет. Шарттарга колдонуучунун же компьютердин топ мүчөлүгү, туташуу түрү, убакыт жана түзмөктүн абалы кириши мүмкүн. Ошондуктан тизмеде эртерек турган кең саясат төмөнкү тар эреже каралганга чейин эле туташууну кабыл алат. Иреттүүлүк интерфейстин деталы эмес; иреттүүлүк — саясаттын өзү.

Тизмени ирети менен окуп, дал келгенин аныктаңыз, анан ал кайсы параметрлерди кайтарганын жазып алыңыз. Редактордогу топтун аталышы натыйжа эмес; натыйжа — сервер алган авторизация. Жайылтуу экөөнү тең колдонгон жерде колдонуучунун авторизациясын жана түзмөктүн авторизациясын өзүнчө кармаңыз, анткени туннель ача алган эсеп автоматтык түрдө ар бир ички кызматка жетүүгө тийиш болгон эсеп эмес.

RADIUS жообу — буйрук, чыпка эмес

Filter-Id атрибуту чыпкалар тизмесинин аталышын алып жүрөт. Ал ар бир кабыл алуучу түшүнгөн пакет чыпкалоо эрежелеринин ташымалдуу топтомун жөнөтпөйт, жана шлюз эч качан аныктабаган аталышты жөнөтүү эч нерсени аткарбайт. Ушул эле этияттык VLAN атрибуттарына да тийиштүү: туннель сеансын VLANга дайындоо өзү менен эле ошол колдонуучу үчүн маршрутталган кирүү эрежеси эмес.

Дал ушул жерде NPS тарабында толук көрүнгөн долбоор үнсүз эч нерсе кылбайт. Шлюз жеткирүүчүсүнүн документтеринен кайсы авторизация атрибуттары колдоого алынганын жана кабыл алуучу алардын ар бири менен эмне кыларын тактаңыз, стандарттык атрибут аталышы стандарттык жүрүм-турумду билдирет деп болжолдоонун ордуна.

Аткарууну трафик өткөн жерге коюңуз

Колдонуучунун пакеттерин иштеп чыккан шлюз ар бир сеанс үчүн чыпканы колдонушу, топту шлюз саясатына картага түшүрүшү же сеанска брандмауэр башкача мамиле кылган бөлүнгөн пулдан дарек бериши мүмкүн. Булардын кайсынысы болбосун иштеши мүмкүн, жана алар ар башкача ишке ашпай калат. Саясатты жазганга чейин шлюзүңүз кайсы механизмди колдой турганын аныктаңыз. Анан ошол механизм жок болгондо сеанс менен эмне болорун жазыңыз, анткени үнсүздүк — демейки абал.

Максатталган уруксатты төрт бөлүктө сүрөттөңүз: булактын идентификатору же топ, багыт, протокол жана порт. Колдонуучуга чындыгында керек болгон көз карандылыктарды кошуңуз, мисалы DNS же аутентификация кызматы, болбосо чектөө эч ким текшерүүнү ойлогон эмес кирүү агымдарын бузат. Эрежени чындыгында чыпкалаган интерфейске каршы жазыңыз, редактордо кокустан ачык турган интерфейске каршы эмес.

Дарек которулушун да эске алыңыз. Эгер төмөнкү брандмауэр ар бир туннель колдонуучусу үчүн бир которулган булак дарегин көрсө, ал ушул даректин эсебинен гана адамдарды ажырата албайт, ал эми ажырата алат деп жазылган эреже же пайдасыз, же өтө кең болот.

Кардар профилдери ишенимсиз тарапта жашайт

Башкарылуучу VPN профили маршруттарды, бөлүнгөн туннель эрежелерин же колдонмо чыпкаларын түртүшү мүмкүн, жана алар тарбиялуу түзмөктүн кандай жүрүм-турум кыларын калыптандырат. Алар кызмат үчүн коргоо эмес, анткени кардар — сиз чектөөгө аракет кылган тарап. Профилдеги маршрутту алып салуу да авторизация эмес, анткени кардардын ошол эле багытка башка жолу болушу мүмкүн.

Кардардын жөндөөлөрүн ыңгайлуулук, ал эми шлюздун жөндөөлөрүн көзөмөл катары караңыз. Экөө кайчы келгенде шлюз туура, анткени пакеттерди көргөн — ошол.

Эки эсеп менен кабыл алыңыз, анан ирети менен көз салыңыз

Ар башка максатталган уруксаттары бар эки кадимки сыноо эсебин түзүңүз, жаңы сеанстарды орнотуңуз жана ар бири үчүн аракеттеги шлюз саясатын текшериңиз. Анан бир зыянсыз уруксат берилген операцияны жана атайын тыюу салынган ресурсту сынап көрүңүз. Ийгиликсиз ping өзү өтө аз нерсени далилдейт, анткени ICMP чыпкаланган болушу мүмкүн, ал эми анын артындагы TCP кызматы кубаныч менен жооп берет.

Эки эсеп тең дагы эле кең кирүү алса, бекитилген ирет менен көз салыңыз: кайсы саясат дал келди, жооп кандай авторизация алып жүрдү жана шлюз аны менен эмне кылды. Кабыл алуучу аларды ишке ашырат деп ырастаганга чейин кошумча NPS атрибуттарын кошуу — кичине авторизация маселесинин натыйжасыз өзгөрүү терезесине айлануу жолу.