NPS grupės strategija nėra VPN išteklių vykdymas

Dvi grupės, du prieigos profiliai, vienas VPN šliuzas, ir galiausiai abi grupės pasiekia tuos pačius serverius. Įprasta priežastis – ne sugadinta strategija, o trūkstama antroji dizaino pusė: NPS nusprendžia, kas gali užmegzti sesiją, o kažkas kitas turi nuspręsti, ką ta sesija gali pasiekti. Kai egzistuoja tik pirmoji pusė, autorizacija pavyksta visiems, kurie autentifikuojasi. Strategija atlieka savo darbą, o dizainas vis dar nepilnas.

Grupei atitinkanti tinklo strategija yra įleidimo įrodymas. Tai nėra įrodymas apie paketus, ir atotrūkis tarp šių dviejų teiginių yra vieta, kurioje vyksta didžioji šio darbo dalis.

Raskite strategiją, kuri iš tikrųjų įleido sesiją

NPS vertina surikiuotas tinklo strategijas, ir laimi pirmoji įjungta taisyklė, kurios sąlygos atitinka. Sąlygos gali apimti naudotojo ar kompiuterio grupės narystę, ryšio tipą, laiką ir įrenginio būseną. Todėl plati strategija, esanti sąraše anksčiau, įleidžia ryšį dar prieš apsvarstant siauresnę taisyklę žemiau. Tvarka nėra sąsajos detalė; tvarka yra strategija.

Perskaitykite sąrašą iš eilės ir nustatykite atitikusią, tada užsirašykite, kokius parametrus ji grąžino. Grupės pavadinimas redaktoriuje nėra rezultatas; rezultatas yra autorizacija, kurią gavo serveris. Laikykite naudotojo autorizaciją ir įrenginio autorizaciją atskirai ten, kur diegimas naudoja abi, nes paskyra, kuriai leidžiama atidaryti tunelį, nėra automatiškai paskyra, kuri turėtų pasiekti kiekvieną vidinę paslaugą.

RADIUS atsakymas yra nurodymas, o ne filtras

Filter-Id atributas neša filtrų sąrašo pavadinimą. Jis neperduoda perkeliamo paketų filtravimo taisyklių rinkinio, kurį suprastų kiekvienas gavėjas, o pavadinimo, kurio šliuzas niekada neapibrėžė, siuntimas nieko neįgyvendina. Toks pat atsargumas galioja VLAN atributams: tunelio sesijos priskyrimas VLAN pačiam savaime nėra maršrutuota prieigos taisyklė tam naudotojui.

Čia NPS pusėje išbaigtai atrodantis dizainas tyliai nedaro nieko. Patvirtinkite šliuzo tiekėjo dokumentacijoje, kurie autorizacijos atributai palaikomi ir ką gavėjas daro su kiekvienu, užuot darę prielaidą, kad standartinis atributo pavadinimas reiškia standartinį elgesį.

Įdėkite vykdymą ten, kur praeina srautas

Šliuzas, apdorojantis naudotojo paketus, gali taikyti sesijos filtrą, susieti grupę su šliuzo strategija arba duoti sesijai adresą iš atskiro baseino, kurį ugniasienė traktuoja kitaip. Bet kuri iš šių priemonių gali veikti, ir jos nepavyksta skirtingais būdais. Nustatykite, kurį mechanizmą palaiko jūsų šliuzas, prieš rašydami strategiją, kuri jį įvardija. Tada užrašykite, kas atsitinka sesijai, kai šio mechanizmo nėra, nes tyla yra numatytoji būsena.

Aprašykite numatomą leidimą keturiose dalyse: šaltinio tapatybė arba grupė, paskirtis, protokolas ir prievadas. Pridėkite priklausomybes, kurių naudotojui tikrai reikia, pavyzdžiui, DNS ar autentifikacijos paslaugą, kitaip apribojimas sulaužys prisijungimo srautus, kurių niekas nepagalvojo išbandyti. Rašykite taisyklę sąsajai, kuri tikrai filtruoja, o ne sąsajai, kuri atsitiktinai atidaryta redaktoriuje.

Atsižvelkite ir į adresų vertimą. Jei toliau esanti ugniasienė mato vieną išverstą šaltinio adresą kiekvienam tunelio naudotojui, ji negali atskirti asmenų vien pagal tą adresą, o taisyklė, parašyta taip, tarsi galėtų, bus arba nenaudinga, arba per plati.

Kliento profiliai gyvena nepatikimoje pusėje

Tvarkomas VPN profilis gali stumti maršrutus, padalinto tunelio taisykles ar programų filtrus, ir jie formuoja, kaip elgiasi gerai išauklėtas įrenginys. Jie nėra paslaugos apsauga, nes klientas yra šalis, kurią bandote apriboti. Maršruto pašalinimas profilyje taip pat nėra autorizacija, nes klientas gali turėti kitą kelią į tą pačią paskirtį.

Traktuokite kliento nustatymus kaip patogumą, o šliuzo nustatymus kaip kontrolę. Kai du nesutaria, šliuzas teisus, nes jis yra tas, kuris mato paketus.

Priimkite su dviem paskyromis, tada sekite iš eilės

Sukurkite dvi įprastas bandomąsias paskyras su skirtingomis numatomomis teisėmis, užmegzkite naujas sesijas ir patikrinkite kiekvienos galiojančią šliuzo strategiją. Tada išbandykite vieną nekenksmingą leidžiamą operaciją ir vieną konkrečiai uždraustą išteklių. Nepavykęs ping pats savaime įrodo labai mažai, nes ICMP gali būti filtruojamas, kol už jo esanti TCP paslauga mielai atsako.

Kai abi paskyros vis dar gauna platų priėjimą, sekite fiksuota tvarka: kuri strategija atitiko, kokią autorizaciją nešė atsakymas ir ką šliuzas su ja padarė. Daugiau NPS atributų pridėjimas prieš patvirtinant, kad gavėjas juos įgyvendina, yra kelias, kuriuo maža autorizacijos problema virsta pokyčių langu be rezultato.