Politika e grupit NPS nuk është zbatimi i burimeve VPN

Dy grupe, dy profile hyrjeje, një portë VPN, dhe në fund të dy grupet arrijnë të njëjtat servera. Arsyeja e zakonshme nuk është një politikë e prishur, por një gjysmë e dytë që mungon në dizajn: NPS vendos kush mund të vendosë një seancë, dhe diçka tjetër duhet të vendosë se ku mund të arrijë ajo seancë. Kur ekziston vetëm gjysma e parë, autorizimi ka sukses për këdo që vërteton identitetin. Politika po bën punën e saj, dhe dizajni është ende i paplotë.

Një politikë rrjeti që përputhet me një grup është provë për pranimin. Nuk është provë për paketat, dhe hendeku midis këtyre dy pohimeve është vendi ku ndodh pjesa më e madhe e kësaj pune.

Gjeni politikën që e pranoi vërtet seancën

NPS vlerëson politika rrjeti të renditura, dhe fiton rregulli i parë i aktivizuar, kushtet e të cilit përputhen. Kushtet mund të përfshijnë anëtarësinë në grup të përdoruesit ose kompjuterit, llojin e lidhjes, kohën dhe gjendjen e pajisjes. Prandaj një politikë e gjerë e vendosur më herët në listë e pranon një lidhje para se një rregull më i ngushtë më poshtë të merret fare në konsideratë. Rendi nuk është detaj i ndërfaqes; rendi është politika.

Lexoni listën me radhë dhe identifikoni atë që përputhej, pastaj shënoni cilat cilësime ktheu. Emri i grupit në redaktues nuk është rezultati; rezultati është autorizimi që mori serveri. Mbani të ndara autorizimin e përdoruesit dhe autorizimin e pajisjes aty ku vendosja përdor të dyja, sepse një llogari që mund të hapë një tunel nuk është automatikisht një llogari që duhet të arrijë çdo shërbim të brendshëm.

Përgjigja RADIUS është udhëzim, jo filtër

Një atribut Filter-Id mban emrin e një liste filtrash. Ai nuk dërgon një grup të lëvizshëm rregullash filtri paketash që çdo marrës i kupton, dhe dërgimi i një emri që porta nuk e ka përcaktuar kurrë nuk zbaton absolutisht asgjë. I njëjti kujdes vlen për atributet VLAN: caktimi i një seance tuneli në një VLAN nuk është, në vetvete, një rregull hyrjeje i rrugëzuar për atë përdorues.

Këtu një dizajn që duket i plotë në anën e NPS nuk bën asgjë në heshtje. Konfirmoni me dokumentacionin e furnizuesit të portës cilat atribute autorizimi mbështeten dhe çfarë bën marrësi me secilin, në vend që të supozoni se një emër standard atributi nënkupton sjellje standarde.

Vendosni zbatimin aty ku kalon trafiku

Një portë që përpunon paketat e përdoruesit mund të zbatojë një filtër për çdo seancë, të hartëzojë një grup në një politikë të portës ose t'i japë seancës një adresë nga një pishinë e veçuar që muri i zjarrit e trajton ndryshe. Secila prej këtyre mund të funksionojë, dhe ato dështojnë në mënyra të ndryshme. Përcaktoni cilin mekanizëm mbështet porta juaj përpara se të shkruani politikën që e emërton atë. Pastaj shkruani çfarë ndodh me një seancë kur ai mekanizëm mungon, sepse heshtja është parazgjedhja.

Përshkruani lejen e synuar në katër pjesë: identiteti i burimit ose grupi, destinacioni, protokolli dhe porta. Shtoni varësitë që përdoruesi ka vërtet nevojë, si DNS ose një shërbim vërtetimi, përndryshe kufizimi do të thyejë rrjedhat e hyrjes që askush nuk mendoi t'i testojë. Shkruani rregullin ndaj ndërfaqes që filtron vërtet, jo ndaj ndërfaqes që ndodh të jetë e hapur në redaktues.

Merrni parasysh edhe përkthimin e adresave. Nëse një mur zjarri më poshtë sheh një adresë të vetme burimi të përkthyer për çdo përdorues të tunelit, nuk mund të dallojë individë vetëm nga ajo adresë, dhe një rregull i shkruar sikur mundet do të jetë ose i padobishëm ose shumë i gjerë.

Profilet e klientit jetojnë në anën e pabesuar

Një profil VPN i menaxhuar mund të shtyjë rrugë, rregulla tuneli të ndarë ose filtra aplikacionesh, dhe ato formësojnë se si sillet një pajisje e sjellshme. Ato nuk janë mbrojtje për shërbimin, sepse klienti është pala që po përpiqeni të kufizoni. Heqja e një rruge në një profil nuk është gjithashtu autorizim, pasi një klient mund të ketë një rrugë tjetër drejt të njëjtit destinacion.

Trajtojini cilësimet e klientit si lehtësi dhe cilësimet e portës si kontroll. Kur të dyja nuk pajtohen, porta ka të drejtë, sepse është ajo që i sheh paketat.

Pranoni me dy llogari dhe më pas gjurmoni me radhë

Krijoni dy llogari testimi të zakonshme me leje të synuara të ndryshme, vendosni seanca të reja dhe kontrolloni politikën efektive të portës për secilën. Pastaj provoni një veprim të lejuar të padëmshëm dhe një burim të refuzuar në mënyrë të veçantë. Një ping i dështuar provon shumë pak më vete, pasi ICMP mund të filtrohet ndërsa shërbimi TCP pas tij përgjigjet me gëzim.

Kur të dyja llogaritë ende marrin hyrje të gjerë, gjurmoni në një rend fiks: cila politikë përputhej, çfarë autorizimi mbante përgjigja dhe çfarë bëri porta me të. Shtimi i më shumë atributeve NPS përpara se të konfirmoni që marrësi i zbaton ato është mënyra se si një problem i vogël autorizimi bëhet një dritare ndryshimi pa rezultat.