NPS-Gruppepolitik ass keng Ëmsetzung vu VPN-Ressourcen

Zwee Gruppen, zwee Zougangsprofiler, ee VPN-Gateway, an um Enn erreechen déi zwou Gruppen déi selwecht Serveren. De gewéinleche Grond ass net eng futtis Politik, mä eng fehlend zweet Halschent vum Design: NPS entscheet, wien eng Sessioun opbaue kann, an eppes anescht muss entscheeden, wat dës Sessioun erreeche kann. Wann nëmmen déi éischt Halschent existéiert, geléngt d’Autorisatioun fir jiddereen, dee sech authentifizéiert. D’Politik mécht hir Aarbecht, an d’Design ass nach ëmmer onkomplett.

Eng Netzwierkpolitik, déi op eng Grupp passt, ass e Beweis iwwer d’Zouloossung. Et ass kee Beweis iwwer Paketen, an de Gruef tëscht dësen zwee Aussoen ass do, wou de gréissten Deel vun dëser Aarbecht geschitt.

Fannt d’Politik, déi d’Sessioun tatsächlech zougelooss huet

NPS evaluéiert geuerdnet Netzwierkpolitiken, an déi éischt aktivéiert Regel, deenen hir Konditioune passen, gewënnt. Konditioune kënnen d’Gruppememberschaft vum Benotzer oder Computer, den Typ vun der Verbindung, d’Zäit an den Zoustand vum Apparat enthalen. Dofir loosse breet Politik, déi méi fréi an der Lëscht steet, eng Verbindung zou, ier eng méi enk Regel méi wäit ënnen iwwerhaapt betruecht gëtt. D’Reiefolleg ass keen Detail vun der Interface; d’Reiefolleg ass d’Politik.

Liest d’Lëscht an der Reiefolleg a bestëmmt déi, déi gepasst huet, a notéiert dann, wéi eng Astellungen se zréckginn huet. Den Numm vun der Grupp am Editor ass net d’Resultat; d’Resultat ass d’Autorisatioun, déi de Server krut. Halt d’Autorisatioun vum Benotzer an d’Autorisatioun vum Apparat getrennt do, wou d’Deploiement allebéid benotzt, well en Kont, deen en Tunnel däerf opmaachen, net automatesch en Kont ass, deen all internen Déngscht soll erreechen.

D’RADIUS-Äntwert ass eng Uweisung, kee Filter

En Filter-Id-Attribut dréit den Numm vun enger Filterlëscht. Et liwwert kee portable Set vu Paketfilterregelen, déi all Empfänger versteet, an en Numm ze schécken, deen de Gateway ni definéiert huet, setzt guer näischt duerch. Déiselwecht Virsiicht gëllt fir VLAN-Attributen: eng Tunnelsessioun engem VLAN zouzeordnen ass fir sech selwer keng geroutet Zougangsregel fir dee Benotzer.

Hei mécht en Design, deen op der NPS-Säit komplett ausgesäit, stëll näischt. Bestätegt mat der Dokumentatioun vum Gateway-Liwwerant, wéi eng Autorisatiounsattributen ënnerstëtzt ginn a wat den Empfänger mat all eenzelen mécht, amplaz unzehuelen, datt en Standardattributsnumm Standardverhalen implizéiert.

Setzt d’Ëmsetzung do, wou den Trafik laanscht kënnt

En Gateway, deen d’Pakete vum Benotzer verschafft, kann e Filter pro Sessioun uwenden, eng Grupp op eng Gateway-Politik mapen, oder der Sessioun eng Adress aus engem ofgesonnerte Pool ginn, dee eng Firewall anescht behandelt. Jiddweree vun dësen kann funktionéieren, an se versoen op verschidde Manéieren. Bestëmmt, wéi ee Mechanismus Äre Gateway ënnerstëtzt, ier Dir d’Politik schreift, déi en nennt. Schreift dann op, wat mat enger Sessioun geschitt, wann dëse Mechanismus feelt, well Stëllt ass de Standard.

Beschreift déi virgesinn Erlaabnes a véier Deeler: Quellidentitéit oder Grupp, Destinatioun, Protokoll a Port. Füügt d’Ofhängegkeeten derbäi, déi de Benotzer wierklech brauch, wéi DNS oder en Authentifikatiounsdéngscht, soss brécht d’Aschränkung Login-Flëss, déi kee geduecht huet ze testen. Schreift d’Regel géint d’Interface, déi tatsächlech filtert, net géint d’Interface, déi zoufälleg am Editor op ass.

Denkt och un d’Adressiwwersetzung. Wann eng Firewall méi wäit ënnen eng eenzeg iwwersat Quelladress fir all Tunnelsbenotzer gesäit, kann se Eenzelpersounen net just aus dëser Adress ënnerscheeden, an eng Regel, déi geschriwwe gëtt, wéi wéilt se et kënnen, wäert entweder nëtzlos oder ze breet sinn.

Clientprofiler liewen op der net vertrauenswürdeger Säit

E verwaltete VPN-Profil kann Routen, Regele fir gedeelten Tunnel oder Uwendungsfilter erausdrécken, an déi formen, wéi eng gutt erzunnen Apparat sech behält. Si sinn kee Schutz fir den Déngscht, well de Client ass déi Partei, déi Dir probéiert aschränken. Eng Route an engem Profil ewechzemaachen ass och keng Autorisatioun, well e Client ee anere Wee op déiselwecht Destinatioun ka hunn.

Behandelt Client-Astellungen als Komfort an Gateway-Astellungen als Kontroll. Wann déi zwee net iwwereneestëmmen, huet de Gateway Recht, well hien ass deen, deen d’Pakete gesäit.

Akzeptéiert mat zwee Konten, verfollegt dann an der Reiefolleg

Erstellt zwee gewéinlech Testkonten mat ënnerschiddlechen virgesinnen Erlaabnes, baut frësch Sessiounen op a préift déi effektiv Gateway-Politik fir all eenzel. Test dann eng harmlos erlaabte Operatioun an eng spezifesch verwéigert Ressource. E feelgeschloene ping beweist fir sech selwer ganz wéineg, well ICMP ka gefiltert sinn, während den TCP-Déngscht hannendrun friddlech äntwert.

Wann béid Konten nach ëmmer breeden Zougang kréien, verfollegt an enger fixer Reiefolleg: wéi eng Politik gepasst huet, wéi eng Autorisatioun d’Äntwert gedroen huet a wat de Gateway domat gemaach huet. Méi NPS-Attributen derbäizesetzen, ier Dir bestätegt, datt den Empfänger se ëmsetzt, ass de Wee, wéi ee klengt Autorisatiounsproblem zu engem Ännerungsfënster ouni Resultat gëtt.