Хэрэглэгчийг VPN бүлэгт нэмэх нь өөрөө хандалт өгөхгүй
Бүлгийн гишүүнчлэл бол нэг нөхцөл, зөвшөөрөл биш. Гарц юуг үнэхээр тааруулсныг харж, хүлээн авах эсвэл татгалзах бичлэгийг уншиж, хоёр үр дүнг шалгана уу.
Бүртгэл зөв бүлэгт байна, нэвтрэлт амжилттай, гэвч холболт татгалзагдсаар эсвэл ямар ч ашигтай зүйлд хүрэхгүй. Ердийн хариу үйлдэл нь ямар нэг зүйл сулартал хэрэглэгчийг илүү олон бүлэгт нэмэх бөгөөд ингэснээр байгууллагууд тасалбарт хүссэнээс хамаагүй их эрх өгдөг. Бүлгийн гишүүнчлэл нь зөвшөөрлийн шийдвэрт орох нэг оролт, хэзээ ч шийдвэр өөрөө биш: гарц сессийн талаар хэдэн баримт цуглуулж, эрэмбэлсэн бодлоготой тулгаж, дараа нь л сесс юунд хүрч болохыг шийднэ. Өөр нөхцөл бүтэлгүйтсэн бол бүлэг солих нь зөвхөн таны өртөлтийг өөрчилнө.
Бүлгийн гишүүнчлэл бол нөхцөл, зөвшөөрөл биш
RADIUS-д бүлэг нь зөвшөөрлийн шинж чанар болж ирдэг бөгөөд шинж чанарууд сессийг дүрсэлдэг, зөвшөөрдөггүй. Сервер Access-Accept эсвэл Access-Reject-ээр хариулна; хүлээн авахдаа Filter-Id, Class эсвэл RFC 2868-ын туннелийн шинж чанарыг хавсаргаж болох бөгөөд нөгөө талын сүлжээний төхөөрөмж тэдгээрийг үйлдвэрлэгчийн шийдвэрээр тайлбарлана. Протоколд бүлгийг бүрэн хандалт болгон хувиргах зүйл байхгүй; тэр зураглалыг бодлого тавьсан хүн бичдэг.
Тиймээс нэг бүлгийн нэр хоёр системд өөрөөр ажилладаг. Microsoft NPS сүлжээний бодлогыг нөхцөл, хязгаарлалт, тохиргооноос бүрдүүлж тогтоосон дарааллаар үнэлдэг. OpenVPN Access Server өөрийн бүлэг, хандалтын дүрмийн загвартай бол нийгэмлэгийн OpenVPN сервер ихэвчлэн бүх асуултыг client-connect скрипт эсвэл client-config-dir файлд шилжүүлдэг.
Шийдвэрийг тохирсон дүрэм гаргана, хүлээсэн бүлэг биш
Ихэнх хөдөлгүүр эхний тохирсон бодлого эсвэл хамгийн тодорхой дээр зогсдог. Бодлого 3 татгалзаж, бодлого 7 зөвшөөрвөл сесс түүнийг нэвтрүүлэх дүрэмд хүрэлгүй бүтэлгүйтэж болно. Дараалал нь NPS болон ихэнх сүлжээний хандалтын хяналтын бүтээгдэхүүнд бодит тохиргоо бөгөөд жилүүдийн туршид шилждэг.
Бүлэгтэй хамт явдаг нөхцлүүд нь нөгөө хагас. Төхөөрөмжийн байдал, баталгаажуулалтын арга, дууссан MFA, эх сүлжээ, гэрчилгээний субъект эсвэл цагийн цонх нэг бодлогод байж болно. Нэг нь биелэхгүй бол бодлого тохирохгүй, хөдөлгүүр доош унаж, өгөгдмөл татгалзал үйлчилнэ. Хэрэглэгчийн талаас бүлгийг үл тоомсорлосон мэт харагдана; хөдөлгүүрийн талаас бүлгээс огт асуугаагүй.
Лавлахын дэлгэрэнгүй мэдээлэл мөн адил хуурмаг байдлыг үүсгэдэг. Windows бүлгийн гишүүнчлэлээр тохируулах бодлого токен дахь SID-үүдийг уншдаг бөгөөд тэнд зөвхөн аюулгүй байдлын бүлгүүд жагсаагддаг, хуваарилалтын бүлэг хэзээ ч харагдахгүй. Үндсэн бүлэг нь өөрийн талбарт байдаг тул түүнд бэхэлсэн бодлого чимээгүйхэн бүтэлгүйтэж болно.
Бүлэгт хүрэхээс өмнө хүлээн авах эсвэл татгалзах бичлэгийг уншина уу
Эхлээд нэг асуулт: хүсэлт зөвшөөрлийн шатанд хүрсэн үү? NPS-д хариулт нь үйл явдлын бүртгэлд байх бөгөөд 6272 олгосон хандалт, 6273 татгалзал, 6274 бодлогыг үнэлэхээс өмнө сервер хаясан хүсэлтийг тэмдэглэнэ. Тэдгээр гурван тоо асуудлыг гурван өөр шалгалтад хуваадаг бөгөөд зөвхөн нэг нь бүлгүүдийн тухай.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
Бүртгэлд хүрэхгүй бол серверээс шууд асууж, юу буцааж байгааг уншина уу. Filter-Id болон туннелийн шинж чанаргүй хариулт нь сервер сессийг энгийн гэж үзэж, гарц өөрийн дүрмийг хэрэглэж байгааг илэрхийлнэ. Хэрэгжүүлэх цэг хэрэгжүүлдэггүй шинж чанартай хариулт нь өөр гэмтэл: зөвшөөрөл өнгөрч, төхөөрөмж үр дүнг үл тоомсорлосон.
radtest alice 'password' 10.0.0.5 0 testing123Буцаасан шинж чанаруудыг гарцын баримтжуулсантай харьцуул, бүлгийн нэрээр иш татсантай биш. Энэ харьцуулалт ихэвчлэн бодлогын асуудлыг хэрэгжүүлэлтийн асуудлаас ялгадаг.
Бүлгийн өөрчлөлт буцаж үйлчлэхгүй
Зөвшөөрлийн шинж чанарууд сессийг баталгаажуулах үед нэг удаа буцдаг. Гарц тэдгээрийг сесс дээр хадгалж, пакет бүрт лавлахыг дахин уншдаггүй тул хэн нэгнийг бүлгээс хассаны дараа ч тогтсон сесс ажилласаар байна.
Өөрчлөлт хүчин төгөлдөр болохын тулд шинэ зөвшөөрлийн шийдвэр хэрэгтэй, зөвхөн шинэ түлхүүр биш. Сервер RFC 5176 динамик зөвшөөрлийг дэмждэг бол UDP 3799 руу Disconnect-Request эсвэл CoA-Request сессийг дахин үнэлэхэд хүргэнэ; эс бөгөөс клиентийг салгаж дахин холбогдохыг зөвшөөрнө үү. Дахин хэлэлцээр туннелийн түлхүүрийг шинэчилж, зөвшөөрлийн үр дүнг ихэвчлэн хөндөхгүй.
Нөхцөлийг зас, бүлгийг биш
Аль бодлого ажилласныг мэдсэний дараа засвар ихэвчлэн бага: хүссэн зөвшөөрлийг далдласан татгалзлын дарааллыг өөрчил, зорьсон бодлогод дутуу төхөөрөмж эсвэл MFA нөхцөлийг нэм, эсвэл хэрэглэгчийг өөр арвыг агуулсан бүлэгт өргөхийн оронд нэг нөөцөд нарийн дүрэм бич.
Богино цикл өөрчлөлтийг шударга байлгана:
- Татгалзлыг анхны бүртгэлээр давтаж, юу ч өөрчлөхөөс өмнө үйл явдлын ID-г бич.
- Нэг объект, бодлогын дараалал, нэг нөхцөл эсвэл нэг бүлгийг өөрчилж, алийг нь бич.
- Шинэ сесс нээж, зөвшөөрөл бүртгэлд харагдаж, нөөц үнэхээр нээгдэж байгааг батал.
- Одоо ч татгалзах ёстой хэрэглэгчийг шалгаж, засвар бодлогыг санамсаргүй өргөжүүлээгүйг батал.
Зөвшөөрөл зөв боловч нөөц нээгдэхгүй бол асуудал чиглүүлэлт эсвэл нэрийн шийдэлд шилжсэн зөвшөөрөл өнгөрсөн мөчид. Тэдгээр хоёр гэмтлийг тусгаарлаж байгаарай, дараагийн тасалбар минут болно.