په VPN ګروپ کې د کارن زیاتول په خپله لاسرسی نه ورکوي
د ګروپ غړیتوب یو شرط دی، نه اجازه. وګورئ چې دروازه په رښتیا څه سره سم کړل، د منلو یا رد ثبت ولولئ او دواړه پایلې وازموئ.
حساب په سم ګروپ کې دی، ننوتل بریالي شول، خو اړیکه لا هم ردېږي یا تر هغه څه نه رسیږي چې ګټه ولري. معمول غبرګون دا دی چې تر هغه پورې نور ګروپونه زیات کړو چې یو څه نرم شي، او همدارنګه ادارې له ټکټ څخه ډېر زیات حقونه ورکوي. د ګروپ غړیتوب د اجازې پرېکړې یو داخل دی، نه پرېکړه پخپله: دروازه د غونډې څو حقایق راټولوي، له ترتیب شوې پالیسۍ سره یې ګډوي او بیا پرېکړه کوي. که بل شرط ناکام شوی وي، د ګروپ بدلول یوازې ستاسو ښکاره والی بدلوي.
د ګروپ غړیتوب شرط دی، نه اجازه
په RADIUS کې ګروپ د اجازې د ځانګړتیا په توګه راځي، او ځانګړتیاوې غونډه تشریح کوي نه اجازه ورکوي. سرور د Access-Accept یا Access-Reject سره ځواب ورکوي؛ د منلو پر مهال کولای شي Filter-Id، Class یا د RFC 2868 د تونل ځانګړتیاوې زیاتې کړي، او بلې خوا ته شبکه يې د جوړوونکي د پرېکړې له مخې تفسیروي. په پروتوکول کې هېڅ شی ګروپ بشپړ لاسرسي ته نه بدلوي؛ دا نقشه د هغه چا لخوا لیکل کیږي چې پالیسي یې ټاکلې ده.
له همدې امله ورته ګروپ نوم په دوو نظامونو کې بېل چلند کوي. Microsoft NPS د شرطونو، محدودیتونو او تنظیماتو څخه شبکه پالیسۍ جوړوي او په ټاکلي ترتیب یې ارزوي. OpenVPN Access Server خپل د ګروپ او لاسرسي قواعد لري، او ټولنیز OpenVPN سرور ډېری وخت ټول پوښتنه client-connect سکریپټ یا client-config-dir فایل ته سپاري.
پرېکړه هغه قاعده کوي چې سمه شوه، نه هغه ګروپ چې تاسو تمه درلوده
ډېری انجنونه په لومړنۍ سمه پالیسۍ یا تر ټولو ځانګړې پالیسۍ بندېږي. که پالیسي 3 رد کړي او پالیسي 7 اجازه ورکړي، غونډه کېدای شي له هغې قاعدې پرته ناکامه شي چې تېرول یې کول. ترتیب په NPS او ډېرو شبکه لاسرسي کنټرول محصولاتو کې ریښتینی تنظیم دی.
له ګروپ سره تړلي شرطونه بله نیمه ده: د وسیلې حالت، د تصدیق طریقه، بشپړ MFA، سرچینه شبکه، د سند موضوع یا د وخت کړکۍ. که یو نه وي بشپړ، پالیسي نه ګډیږي، انجن لاندې وځي او بنسټیز رد پلي کیږي.
د لارښود جزئیات هماغه توهم جوړوي. د Windows ګروپ غړیتوب پالیسي په ټوکن کې SID لولي، هلته یوازې امنیتي ګروپونه لیست شوي، وېش ګروپ هېڅکله نه ښکاري.
د ګروپ له لمس کولو دمخه د منلو یا رد ثبت ولولئ
لومړی یوه پوښتنه: غوښتنه د اجازې مرحلې ته ورسېده؟ په NPS کې ځواب د پېښو ثبت کې دی، چې 6272 ورکړل شوی لاسرسی، 6273 رد او 6274 هغه غوښتنه چې سرور له پالیسۍ ارزونې دمخه وغورځوله، ثبتوي. دا درې عددونه ستونزه په درې جلا څېړنو ووېشي، یوازې یوه د ګروپونو په اړه ده.
| What the record shows | What it means | Where to look next |
|---|---|---|
| 6272, access granted | Authentication and authorization both succeeded | Routes, split tunnel, DNS, per-resource rules |
| 6273, access denied | A policy matched and denied, or nothing matched and the default denied | The conditions of the policy that fired, in order |
| 6274, request discarded | The request never reached authorization | Shared secret, NAS client entry, proxy chain, malformed attributes |
که ثبت نه وي، له سرور څخه مستقیم وپوښتئ او ولولئ چې څه بېرته ورکوي. پرته له Filter-Id او د تونل ځانګړتیاوو ځواب وايي سرور غونډه عادي ګڼي او دروازه خپل قواعد پلي کوي.
radtest alice 'password' 10.0.0.5 0 testing123بېرته شوې ځانګړتیاوې له هغو سره پرتله کړئ چې دروازه مستند کوي، نه له هغو سره چې د ګروپ نوم یې اشاره کوي. دا پرتله کول معمولا د پالیسۍ ستونزه له پلي کولو ستونزې بېلوي.
د ګروپ بدلون شاته نه پلي کیږي
د اجازې ځانګړتیاوې یو ځل بېرته راځي، کله چې غونډه تصدیق شي. دروازه هغه په غونډه کې ساتي او هر بستې لپاره لارښود بیا نه لولي، له همدې امله جوړه شوې غونډه له ګروپ څخه د چا لرې کولو وروسته هم کار کوي.
د بدلون د پلي کېدو لپاره نوی اجازه پرېکړه غواړي، نه یوازې نوي کیلي. که سرور RFC 5176 ملاتړ کوي، UDP 3799 ته Disconnect-Request یا CoA-Request غونډه بیا ارزونې ته اړباسي؛ که نه، کلاینټ قطع کړئ او بیا د نښلېدو اجازه ورکړئ.
شرط سم کړئ، نه ګروپ
کله چې پوه شوئ کومه پالیسي کار وکړ، سمون معمولا کوچنی وي: هغه رد چې غوښتل شوې اجازه پټوي بیا ترتیب کړئ، په هدف پالیسۍ کې ورکه د وسیلې یا MFA شرط زیات کړئ، یا د یوې سرچینې لپاره تنګ قاعده ولیکئ نه دا چې کارن په لس نورو ګروپ کې پورته کړئ.
لنډ چرخ بدلون صادق ساتي:
- له اصلي حساب سره رد بیا جوړ کړئ او له هر بدلون دمخه د پېښې ID ولیکئ.
- یو شی بدل کړئ، د پالیسیو ترتیب، یو شرط یا یو ګروپ، او ولیکئ کوم یو.
- نوې غونډه پرانیزئ، ډاډ ترلاسه کړئ چې اجازه په ثبت کې ښکاري او سرچینه واقعا خلاصیږي.
- هغه کارن وازموئ چې باید لا هم رد شي، تر څو سمون پالیسي ناڅاپه پراخه نه کړي.
که اجازه سمه ده او سرچینه نه خلاصیږي، د اجازې له تېرېدو سره سم ستونزه لارې یا د نومونو حل ته تللې ده. دا دوه خرابۍ جلا وساتئ، راتلونکی ټکټ دقیقې ونیسي نه نیمه ورځ.