Il-politika tal-grupp NPS mhix infurzar tar-riżorsi VPN

Żewġ gruppi, żewġ profili ta’ aċċess, gateway VPN wieħed, u fl-aħħar iż-żewġ gruppi jaslu għall-istess servers. Ir-raġuni tas-soltu mhix politika miksura iżda nofs it-tieni nieqes mid-disinn: NPS jiddeċiedi min jista’ jistabbilixxi sessjoni, u xi ħaġa oħra trid tiddeċiedi x’tista’ tilħaq dik is-sessjoni. Meta teżisti biss l-ewwel nofs, l-awtorizzazzjoni tirnexxi għal kulħadd li jivverifika ruħu. Il-politika qed tagħmel xogħolha, u d-disinn għadu mhux komplut.

Politika tan-netwerk li taqbel ma’ grupp hija prova dwar id-dħul. Mhijiex prova dwar il-pakketti, u d-distakk bejn dawn iż-żewġ stqarrijiet huwa fejn isseħħ il-parti l-kbira ta’ dan ix-xogħol.

Sib il-politika li tassew daħħlet is-sessjoni

NPS jevalwa politiki tan-netwerk ordnati, u tirbaħ l-ewwel regola attivata li l-kundizzjonijiet tagħha jaqblu. Il-kundizzjonijiet jistgħu jinkludu sħubija fi grupp ta’ utent jew kompjuter, it-tip ta’ konnessjoni, il-ħin u l-istat tal-apparat. Għalhekk politika wiesgħa mqiegħda eqreb il-bidu tal-lista tippermetti konnessjoni qabel ma titqies regola idjaq aktar ‘l isfel. L-ordni mhix dettall tal-interface; l-ordni hija l-politika.

Aqra l-lista fl-ordni u identifika dik li qabblet, imbagħad innota liema settings ġabet lura. L-isem tal-grupp fl-editur mhuwiex ir-riżultat; ir-riżultat hija l-awtorizzazzjoni li rċeviet is-server. Żomm l-awtorizzazzjoni tal-utent u l-awtorizzazzjoni tal-apparat separati fejn l-iskjerament juża t-tnejn, għax kont li jista’ jiftaħ tunnel mhuwiex awtomatikament kont li għandu jasal għal kull servizz intern.

It-tweġiba RADIUS hija istruzzjoni, mhux filtru

Attribut Filter-Id iġorr l-isem ta’ lista ta’ filtri. Ma jibgħatx sett portabbli ta’ regoli tal-filtru tal-pakketti li jifhem kull riċevitur, u li tibgħat isem li l-gateway qatt ma ddefinixxa ma jinfurza xejn affattu. L-istess kawtela tapplika għall-attributi VLAN: li tassenja sessjoni ta’ tunnel lil VLAN fiha nnifisha mhijiex regola ta’ aċċess direzzjonata għal dak l-utent.

Hawn huwa fejn disinn li jidher komplet fuq in-naħa NPS bl-addoċċ ma jagħmel xejn. Ikkonferma mad-dokumentazzjoni tal-fornitur tal-gateway liema attributi ta’ awtorizzazzjoni huma appoġġati u x’jagħmel ir-riċevitur b’kull wieħed, minflok ma tassumi li isem standard ta’ attribut ifisser imġiba standard.

Qiegħed l-infurzar fejn tgħaddi t-traffiku

Gateway li jipproċessa l-pakketti tal-utent jista’ japplika filtru għal kull sessjoni, jimmapja grupp għal politika tal-gateway, jew jagħti lis-sessjoni indirizz minn ġabra segregata li l-firewall jittratta b’mod differenti. Kull waħda minn dawn tista’ taħdem, u jonqsu b’modi differenti. Iddetermina liema mekkaniżmu jappoġġa l-gateway tiegħek qabel ma tikteb il-politika li ssemmih. Imbagħad ikteb x’jiġri minn sessjoni meta dak il-mekkaniżmu jkun nieqes, għax is-skiet huwa l-predeċiż.

Iddeskrivi l-permess maħsub f’erba’ partijiet: identità tas-sors jew grupp, destinazzjoni, protokoll u port. Żid id-dipendenzi li l-utent verament jeħtieġ, bħal DNS jew servizz ta’ awtentikazzjoni, inkella r-restrizzjoni tkisser flussi tad-dħul li ħadd ma ħaseb biex jittestja. Ikteb ir-regola kontra l-interface li tassew tiffiltra, mhux kontra l-interface li bil-kumbinazzjoni hija miftuħa fl-editur.

Qis ukoll it-traduzzjoni tal-indirizzi. Jekk firewall aktar ‘l isfel jara indirizz tas-sors wieħed tradott għal kull utent tat-tunnel, ma jistax jiddistingwi l-individwi biss minn dak l-indirizz, u regola miktuba bħallikieku tista’ tkun jew bla użu jew wisgħa wisq.

Il-profili tal-klijent jgħixu fuq in-naħa mhux affidabbli

Profil VPN immexxi jista’ jimbotta rotot, regoli ta’ tunnel maqsum jew filtri tal-applikazzjoni, u dawn ifisslu kif iġib ruħu apparat imrobbi tajjeb. Mhumiex protezzjoni għas-servizz, għax il-klijent huwa l-parti li qed tipprova tillimita. It-tneħħija ta’ rotta fi profil lanqas mhija awtorizzazzjoni, ladarba klijent jista’ jkollu triq oħra lejn l-istess destinazzjoni.

Ittratta s-settings tal-klijent bħala kumdità u s-settings tal-gateway bħala kontroll. Meta t-tnejn ma jaqblux, il-gateway għandu raġun għax huwa dak li jara l-pakketti.

Aċċetta b’żewġ kontijiet, imbagħad issorvelja fl-ordni

Oħloq żewġ kontijiet tat-test ordinarji b’permessi maħsuba differenti, stabbilixxi sessjonijiet ġodda u iċċekkja l-politika effettiva tal-gateway għal kull wieħed. Imbagħad ipprova operazzjoni permessa bla ħsara u riżors speċifikament miċħud. ping li jonqos jipprova ftit ħafna waħdu, għax ICMP jista’ jkun iffiltrat filwaqt li s-servizz TCP warajh iwieġeb bil-ferħ.

Meta ż-żewġ kontijiet xorta jiksbu aċċess wiesa’, issorvelja fl-ordni fissa: liema politika qabblet, liema awtorizzazzjoni kienet iġġorr it-tweġiba, u x’għamel il-gateway biha. Li żżid aktar attributi NPS qabel ma tikkonferma li r-riċevitur jimplimentahom huwa l-mod kif problema żgħira ta’ awtorizzazzjoni ssir tieqa ta’ bidla mingħajr riżultat.