Dasar Kumpulan NPS bukan Penguatkuasaan Sumber VPN

Dua kumpulan, dua profil akses, satu gateway VPN, dan akhirnya kedua-dua kumpulan mencapai pelayan yang sama. Punca biasa bukan dasar yang rosak tetapi separuh kedua reka bentuk yang hilang: NPS memutuskan siapa boleh mewujudkan sesi, dan sesuatu yang lain mesti memutuskan apa yang boleh dicapai oleh sesi itu. Apabila hanya separuh pertama wujud, kebenaran berjaya untuk semua yang mengesahkan diri. Dasar itu menjalankan tugasnya, dan reka bentuknya masih tidak lengkap.

Dasar rangkaian yang sepadan dengan kumpulan ialah bukti tentang penerimaan. Ia bukan bukti tentang paket, dan jurang antara kedua-dua kenyataan itulah tempat sebahagian besar kerja ini berlaku.

Cari dasar yang benar-benar menerima sesi itu

NPS menilai dasar rangkaian yang tersusun, dan peraturan pertama yang didayakan yang syaratnya sepadan akan menang. Syarat boleh merangkumi keahlian kumpulan pengguna atau komputer, jenis sambungan, masa dan keadaan peranti. Oleh itu dasar luas yang diletakkan lebih awal dalam senarai menerima sambungan sebelum peraturan yang lebih sempit di bawahnya dipertimbangkan. Susunan bukan butiran antara muka; susunan ialah dasarnya.

Baca senarai mengikut susunan dan kenal pasti yang sepadan, kemudian catat tetapan yang dikembalikannya. Nama kumpulan dalam editor bukan hasilnya; hasilnya ialah kebenaran yang diterima pelayan. Asingkan kebenaran pengguna dan kebenaran peranti di tempat penggunaan menggunakan kedua-duanya, kerana akaun yang boleh membuka terowong bukan secara automatik akaun yang sepatutnya mencapai setiap perkhidmatan dalaman.

Balasan RADIUS ialah arahan, bukan penapis

Atribut Filter-Id membawa nama senarai penapis. Ia tidak menghantar set peraturan penapisan paket mudah alih yang difahami setiap penerima, dan menghantar nama yang tidak pernah ditakrifkan oleh gateway tidak menguatkuasakan apa-apa pun. Awas yang sama terpakai pada atribut VLAN: menetapkan sesi terowong kepada VLAN bukan, dengan sendirinya, peraturan akses berhalakan untuk pengguna itu.

Di sinilah reka bentuk yang kelihatan lengkap di bahagian NPS diam-diam tidak berbuat apa-apa. Sahkan dengan dokumentasi vendor gateway atribut kebenaran mana yang disokong dan apa yang dilakukan penerima dengan setiap satunya, bukannya menganggap bahawa nama atribut standard membayangkan tingkah laku standard.

Letakkan penguatkuasaan di tempat trafik melaluinya

Gateway yang memproses paket pengguna boleh menggunakan penapis setiap sesi, memetakan kumpulan kepada dasar gateway, atau memberi sesi alamat daripada kumpulan terasing yang dianggap berbeza oleh tembok api. Mana-mana daripada itu boleh berfungsi, dan semuanya gagal dengan cara yang berbeza. Tentukan mekanisme mana yang disokong gateway anda sebelum menulis dasar yang menamakannya. Kemudian catat apa yang berlaku kepada sesi apabila mekanisme itu tiada, kerana senyap ialah lalai.

Huraikan kebenaran yang dimaksudkan dalam empat bahagian: identiti sumber atau kumpulan, destinasi, protokol dan port. Tambah kebergantungan yang benar-benar diperlukan pengguna, seperti DNS atau perkhidmatan pengesahan, jika tidak sekatan itu akan merosakkan aliran log masuk yang tiada siapa terfikir untuk menguji. Tulis peraturan terhadap antara muka yang benar-benar menapis, bukan terhadap antara muka yang kebetulan terbuka dalam editor.

Ambil kira penterjemahan alamat juga. Jika tembok api di hilir melihat satu alamat sumber yang diterjemah untuk setiap pengguna terowong, ia tidak boleh membezakan individu hanya daripada alamat itu, dan peraturan yang ditulis seolah-olah boleh akan sama ada tidak berguna atau terlalu luas.

Profil klien tinggal di bahagian yang tidak dipercayai

Profil VPN terurus boleh menolak laluan, peraturan terowong berpecah atau penapis aplikasi, dan semuanya membentuk tingkah laku peranti yang berkelakuan baik. Ia bukan perlindungan untuk perkhidmatan, kerana klien ialah pihak yang anda cuba kekang. Mengalih keluar laluan dalam profil juga bukan kebenaran, kerana klien mungkin mempunyai laluan lain ke destinasi yang sama.

Anggap tetapan klien sebagai kemudahan dan tetapan gateway sebagai kawalan. Apabila kedua-duanya tidak bersetuju, gateway betul kerana dialah yang melihat paket.

Terima dengan dua akaun, kemudian jejaki mengikut susunan

Cipta dua akaun ujian biasa dengan kebenaran yang dimaksudkan berbeza, wujudkan sesi baharu dan semak dasar gateway yang berkesan untuk setiap satu. Kemudian uji satu operasi dibenarkan yang tidak berbahaya dan satu sumber yang ditolak secara khusus. ping yang gagal membuktikan sangat sedikit dengan sendirinya, kerana ICMP mungkin ditapis sementara perkhidmatan TCP di belakangnya menjawab dengan gembira.

Apabila kedua-dua akaun masih mendapat akses luas, jejaki dalam susunan tetap: dasar mana yang sepadan, kebenaran apa yang dibawa balasan, dan apa yang dilakukan gateway dengannya. Menambah lebih banyak atribut NPS sebelum mengesahkan bahawa penerima melaksanakannya ialah cara masalah kebenaran kecil menjadi tetingkap perubahan tanpa hasil.