Групната политика на NPS не е спроведување на VPN ресурси

Две групи, два профила за пристап, една VPN порта, и на крајот двете групи достигнуваат до истите сервери. Обичната причина не е расипана политика, туку недостапна втора половина од дизајнот: NPS одлучува кој може да воспостави сесија, а нешто друго мора да одлучи до што таа сесија може да достигне. Кога постои само првата половина, авторизацијата успева за секој што се автентицира. Политиката ја врши својата работа, а дизајнот е сѐ уште нецелосен.

Мрежна политика што се совпаѓа со група е доказ за прием. Тоа не е доказ за пакети, и јазот меѓу тие две тврдења е местото каде што се случува најголемиот дел од оваа работа.

Најдете ја политиката што навистина ја прими сесијата

NPS ги оценува подредените мрежни политики, и победува првото овозможено правило чии услови се совпаѓаат. Условите можат да вклучуваат членство во група на корисник или компјутер, тип на врска, време и состојба на уредот. Затоа широка политика поставена порано во списокот прима врска пред воопшто да се разгледа потесно правило подолу. Редоследот не е детал од интерфејсот; редоследот е политиката.

Прочитајте го списокот по ред и одредете го совпаднатото, потоа запишете кои поставки ги врати. Името на групата во уредувачот не е резултатот; резултатот е авторизацијата што ја доби серверот. Држете ја авторизацијата на корисникот и авторизацијата на уредот одделно таму каде што распоредувањето ги користи двете, бидејќи сметка што смее да отвори тунел не е автоматски сметка што треба да достигне до секоја внатрешна услуга.

Одговорот на RADIUS е инструкција, а не филтер

Атрибутот Filter-Id го носи името на список со филтри. Тој не пренесува пренослив збир правила за филтрирање пакети што секој примач би го разбрал, а испраќањето име што портата никогаш не го дефинирала не спроведува ништо воопшто. Истото внимание важи и за атрибутите на VLAN: доделувањето на тунелска сесија на VLAN само по себе не е рутирано правило за пристап за тој корисник.

Тука дизајн што изгледа целосен на страната на NPS тивко не прави ништо. Потврдете од документацијата на добавувачот на портата кои атрибути за авторизација се поддржани и што прави примачот со секој од нив, наместо да претпоставувате дека стандардно име на атрибут значи стандардно однесување.

Поставете го спроведувањето таму каде што минува сообраќајот

Порта што ги обработува пакетите на корисникот може да примени филтер за секоја сесија, да мапира група на политика на портата или да ѝ даде на сесијата адреса од одделен базен што огнениот ѕид го третира поинаку. Секоја од овие може да работи, и тие не успеваат на различни начини. Определете кој механизам го поддржува вашата порта пред да ја напишете политиката што го именува. Потоа запишете што се случува со сесијата кога тој механизам го нема, бидејќи тишината е стандардната состојба.

Опишете го предвиденото дозволување во четири дела: идентитет на изворот или група, дестинација, протокол и порта. Додајте ги зависностите што на корисникот навистина му требаат, како DNS или услуга за автентикација, инаку ограничувањето ќе ги скрши текстуалните текови за најава што никој не помислил да ги тестира. Напишете го правилото спрема интерфејсот што навистина филтрира, а не спрема интерфејсот што случајно е отворен во уредувачот.

Земете го предвид и преведувањето на адреси. Ако огнениот ѕид подолу гледа една преведена изворна адреса за секој корисник на тунелот, не може да разликува поединци само од таа адреса, а правило напишано како да може ќе биде или бескорисно, или премногу широко.

Профилите на клиентот живеат на недоверливата страна

Управуван VPN профил може да турка маршрути, правила за поделен тунел или филтри за апликации, и тие го обликуваат однесувањето на добро воспитаниот уред. Тие не се заштита за услугата, бидејќи клиентот е страната што се обидувате да ја ограничите. Отстранувањето на маршрута во профил исто така не е авторизација, бидејќи клиентот може да има друг пат до истата дестинација.

Третирајте ги поставките на клиентот како погодност, а поставките на портата како контрола. Кога двете не се согласуваат, портата е во право, бидејќи таа е онаа што ги гледа пакетите.

Прифатете со две сметки, потоа следете по ред

Создадете две обични пробни сметки со различни предвидени дозволи, воспоставете нови сесии и проверете ја делотворната политика на портата за секоја. Потоа тестирајте една безопасна дозволена операција и еден конкретно одбиен ресурс. Неуспешен ping сам по себе докажува многу малку, бидејќи ICMP може да биде филтриран додека TCP услугата зад него мирно одговара.

Кога двете сметки сѐ уште добиваат широк пристап, следете во фиксен ред: која политика се совпадна, каква авторизација носеше одговорот и што направи портата со неа. Додавањето повеќе атрибути на NPS пред да потврдите дека примачот ги спроведува е патот на кој мал проблем со авторизацијата станува прозорец за промени без резултат.