NPS групна политика није примена VPN ресурса

Две групе, два профила приступа, један VPN пролаз, и на крају обе групе достижу исте сервере. Уобичајен разлог није покварена политика, већ недостајућа друга половина дизајна: NPS одлучује ко може да успостави сесију, а нешто друго мора да одлучи до чега та сесија може да достигне. Када постоји само прва половина, ауторизација успева за свакога ко се аутентификује. Политика ради свој посао, а дизајн је још увек непотпун.

Мрежна политика која се подудара са групом је доказ о пријему. То није доказ о пакетима, и јаз између те две тврдње је место где се одвија већина овог посла.

Пронађите политику која је заиста примила сесију

NPS вреднује поређане мрежне политике, и побеђује прво омогућено правило чији се услови подударају. Услови могу да укључе чланство у групи корисника или рачунара, тип везе, време и стање уређаја. Зато широка политика смештена раније на списку прима везу пре него што се ужа правила ниже уопште размотре. Редослед није детаљ интерфејса; редослед је политика.

Прочитајте списак по реду и препознајте оно што се подударило, затим запишите које је поставке вратило. Назив групе у уређивачу није резултат; резултат је ауторизација коју је сервер примио. Држите ауторизацију корисника и ауторизацију уређаја одвојено тамо где распоређивање користи обе, јер рачун који сме да отвори тунел није аутоматски рачун који би требало да достигне сваку интерну услугу.

Одговор RADIUS је инструкција, а не филтер

Атрибут Filter-Id носи назив списка филтера. Он не преноси преносив скуп правила за филтрирање пакета који би разумео сваки прималац, а слање назива који пролаз никада није дефинисао не примењује баш ништа. Иста пажња важи за атрибуте VLAN: додељивање тунелске сесије VLAN-у само по себи није рутирано правило приступа за тог корисника.

Овде дизајн који на страни NPS изгледа потпуно тихо не чини ништа. Потврдите из документације добављача пролаза који су атрибути ауторизације подржани и шта прималац чини са сваким, уместо да претпоставите да стандардни назив атрибута значи стандардно понашање.

Поставите примену тамо где саобраћај пролази

Пролаз који обрађује пакете корисника може да примени филтер за сваку сесију, преслика групу на политику пролаза или да сесији да адресу из издвојеног скупа који заштитни зид третира другачије. Свака од ових може да функционише, и оне отказују на различите начине. Утврдите који механизам ваш пролаз подржава пре него што напишете политику која га именује. Затим запишите шта се дешава са сесијом када тог механизма нема, јер тишина је подразумевано стање.

Опишите предвиђену дозволу у четири дела: идентитет извора или група, одредиште, протокол и порт. Додајте зависности које кориснику заиста требају, као што су DNS или услуга аутентификације, иначе ће ограничење сломити токове пријаве које нико није смислио да тестира. Пишите правило према интерфејсу који заиста филтрира, а не према интерфејсу који је случајно отворен у уређивачу.

Узмите у обзир и превођење адреса. Ако заштитни зид ниже види једну преведену изворну адресу за сваког корисника тунела, не може да разликује појединце само по тој адреси, а правило написано као да може биће или бескорисно или прешироко.

Профили клијента живе на неповерљивој страни

Управљани VPN профил може да гура руте, правила подељеног тунела или филтере апликација, и они обликују како се понаша добро васпитан уређај. Они нису заштита за услугу, јер клијент је страна коју покушавате да ограничите. Уклањање руте у профилу такође није ауторизација, пошто клијент може имати други пут до истог одредишта.

Третирајте поставке клијента као погодност, а поставке пролаза као контролу. Када се две не слажу, пролаз је у праву, јер је он тај који види пакете.

Прихватите са два рачуна, затим пратите по реду

Направите два обична тестна рачуна са различитим предвиђеним дозволама, успоставите нове сесије и проверите делотворну политику пролаза за сваки. Затим тестирајте једну безазлену дозвољену радњу и један изричито одбијен ресурс. Неуспешан ping сам по себи доказује врло мало, јер ICMP може бити филтриран док TCP услуга иза њега мирно одговара.

Када оба рачуна и даље добијају широк приступ, пратите фиксним редом: која се политика подударила, какву је ауторизацију носио одговор и шта је пролаз са њом урадио. Додавање више NPS атрибута пре потврде да их прималац примењује је пут којим мали проблем са ауторизацијом постаје прозор промена без резултата.