NPS-ийн бүлгийн бодлого нь VPN нөөцийн хэрэгжилт биш

Хоёр бүлэг, хоёр хандалтын профайл, нэг VPN гарц, эцэст нь хоёр бүлэг ижил серверт хүрдэг. Ердийн шалтгаан нь эвдэрсэн бодлого биш, харин дизайны дутуу хоёр дахь хагас юм: NPS хэн сессийг тогтоож болохыг шийддэг, тэр сессийг юунд хүрч болохыг өөр зүйл шийдэх ёстой. Зөвхөн эхний хагас байгаа үед баталгаажуулалт хийсэн бүх хүнд зөвшөөрөл амжилттай болно. Бодлого ажлаа хийж байгаа бөгөөд дизайн одоо ч бүрэн бус байна.

Бүлэгт тохирох сүлжээний бодлого нь хүлээн авалтын нотолгоо юм. Энэ нь пакетуудын нотолгоо биш бөгөөд энэ хоёр мэдэгдлийн хоорондын зай нь энэ ажлын ихэнх хэсэг явагдах газар юм.

Сессийг үнэхээр хүлээн авсан бодлогыг олоорой

NPS эрэмбэлсэн сүлжээний бодлогуудыг үнэлдэг бөгөөд нөхцөл нь тохирох эхний идэвхжсэн дүрэм ялдаг. Нөхцөлд хэрэглэгч эсвэл компьютерийн бүлгийн гишүүнчлэл, холболтын төрөл, цаг хугацаа, төхөөрөмжийн төлөв багтаж болно. Тиймээс жагсаалтад эрт байрласан өргөн бодлого нь доорх нарийн дүрмийг авч үзэхээс өмнө холболтыг хүлээн авдаг. Эрэмбэ нь интерфейсийн нарийн ширийн зүйл биш; эрэмбэ нь бодлого өөрөө юм.

Жагсаалтыг дарааллаар нь уншиж, тохирсоныг тодорхойлоод, ямар тохиргоо буцаасныг тэмдэглээрэй. Засварлагч дахь бүлгийн нэр нь үр дүн биш; үр дүн бол серверийн хүлээн авсан зөвшөөрөл юм. Байршуулалт хоёуланг нь ашигладаг газарт хэрэглэгчийн зөвшөөрөл ба төхөөрөмжийн зөвшөөрлийг тусад нь байлгаарай, учир нь туннель нээж болох бүртгэл нь автоматаар дотоод бүх үйлчилгээнд хүрэх ёстой бүртгэл биш юм.

RADIUS хариу нь заавар, шүүлтүүр биш

Filter-Id шинж чанар нь шүүлтүүрийн жагсаалтын нэрийг агуулна. Энэ нь хүлээн авагч бүр ойлгодог пакет шүүх дүрмийн зөөврийн багцыг илгээдэггүй бөгөөд гарц хэзээ ч тодорхойлоогүй нэрийг илгээх нь юуг ч хэрэгжүүлэхгүй. Ижил болгоомжлол VLAN шинж чанаруудад мөн хамаарна: туннелийн сессийг VLAN-д оноох нь өөрөө тэр хэрэглэгчид зориулсан чиглүүлсэн хандалтын дүрэм биш юм.

Энд NPS талд бүрэн харагдах дизайн чимээгүйгээр юу ч хийдэггүй. Гарцын нийлүүлэгчийн баримт бичгээс ямар зөвшөөрлийн шинж чанарууд дэмжигддэг, хүлээн авагч тус бүрээр нь юу хийдгийг баталгаажуулаарай, стандарт шинж чанарын нэр нь стандарт зан төлөвийг илэрхийлдэг гэж таамаглахын оронд.

Хэрэгжилтийг урсгал өнгөрөх газарт байрлуулаарай

Хэрэглэгчийн пакетыг боловсруулдаг гарц нь сесс бүрт шүүлтүүр хэрэглэх, бүлгийг гарцын бодлогод буулгах, эсвэл галт хана өөрөөр хардаг тусгаарлагдсан сангаас сессэд хаяг өгөх боломжтой. Эдгээрийн аль нь ч ажиллаж болох бөгөөд тэд өөр өөр аргаар бүтэлгүйтдэг. Бодлогыг бичихээс өмнө таны гарц ямар механизмыг дэмждэгийг тодорхойлоорой. Дараа нь тэр механизм байхгүй үед сессэд юу тохиолдохыг бичээрэй, учир нь чимээгүй байдал нь анхдагч юм.

Хүссэн зөвшөөрлийг дөрвөн хэсэгт тайлбарлана уу: эх сурвалжийн таних тэмдэг эсвэл бүлэг, очих газар, протокол ба порт. Хэрэглэгчид үнэхээр хэрэгтэй хамаарлуудыг нэмээрэй, жишээ нь DNS эсвэл баталгаажуулалтын үйлчилгээ, эс бөгөөс хязгаарлалт нь хэн ч туршиж үзэхгүй нэвтрэх урсгалыг эвдэнэ. Дүрмийг үнэхээр шүүдэг интерфейсийн эсрэг бичээрэй, засварлагчид санамсаргүй нээлттэй байгаа интерфейсийн эсрэг биш.

Хаягийн хөрвүүлэлтийг мөн анхаараарай. Хэрэв доод галт хана туннелийн хэрэглэгч бүрт нэг хөрвүүлсэн эх хаяг хардаг бол зөвхөн тэр хаягаас хүмүүсийг ялгаж чадахгүй, чадах мэт бичсэн дүрэм нь ашиггүй эсвэл хэт өргөн байх болно.

Клиент профайлууд итгэмжлэгдэхгүй талд амьдардаг

Удирдлагатай VPN профайл нь чиглэл, хуваагдсан туннелийн дүрэм эсвэл програмын шүүлтүүрийг түлхэж болох бөгөөд тэдгээр нь сайн хүмүүжсэн төхөөрөмжийн зан төлөвийг бүрдүүлдэг. Тэдгээр нь үйлчилгээний хамгаалалт биш, учир нь клиент бол таны хязгаарлахыг оролдож буй тал юм. Профайл дахь чиглэлийг устгах нь ч зөвшөөрөл биш, учир нь клиент ижил очих газарт өөр замтай байж болно.

Клиентийн тохиргоог тав тух, гарцын тохиргоог хяналт гэж үзээрэй. Хоёр нь зөрчилдөх үед гарц зөв, учир нь пакетыг хардаг нь тэр юм.

Хоёр бүртгэлээр хүлээн аваад, дараа нь дарааллаар нь мөрдөөрэй

Өөр өөр хүссэн зөвшөөрөлтэй хоёр энгийн туршилтын бүртгэл үүсгэж, шинэ сесс тогтоож, тус бүрийн үйлчлэх гарцын бодлогыг шалгаарай. Дараа нь нэг хор хөнөөлгүй зөвшөөрөгдсөн үйлдэл ба тусгайлан хориглосон нөөцийг туршаарай. Бүтэлгүй ping нь өөрөө маш бага зүйг нотолдог, учир нь ICMP шүүгдсэн байж болох бөгөөд арын TCP үйлчилгээ баяртайгаар хариулдаг.

Хоёр бүртгэл хоёулаа өргөн хандалт авсаар байвал тогтмол дарааллаар мөрдөөрэй: аль бодлого тохирсон, хариу ямар зөвшөөрөл агуулсан, гарц түүнтэй юу хийсэн. Хүлээн авагч тэдгээрийг хэрэгжүүлдэг гэдгийг баталгаажуулахаас өмнө илүү олон NPS шинж чанар нэмэх нь жижиг зөвшөөрлийн асуудлыг үр дүнгүй өөрчлөлтийн цонх болгох зам юм.