นโยบายกลุ่มของ NPS ไม่ใช่การบังคับใช้ทรัพยากร VPN

สองกลุ่ม สองโปรไฟล์การเข้าถึง เกตเวย์ VPN หนึ่งตัว และสุดท้ายทั้งสองกลุ่มก็เข้าถึงเซิร์ฟเวอร์เดียวกัน สาเหตุที่พบบ่อยไม่ใช่นโยบายที่เสีย แต่เป็นครึ่งหลังของดีไซน์ที่ขาดไป: NPS ตัดสินใจว่าใครสร้างเซสชันได้ และมีอีกสิ่งหนึ่งต้องตัดสินใจว่าเซสชันนั้นเข้าถึงอะไรได้ เมื่อมีเพียงครึ่งแรก การอนุญาตก็สำเร็จสำหรับทุกคนที่ผ่านการพิสูจน์ตัวตน นโยบายทำงานของมัน และดีไซน์ยังไม่สมบูรณ์

นโยบายเครือข่ายที่ตรงกับกลุ่มเป็นหลักฐานเกี่ยวกับการรับเข้า ไม่ใช่หลักฐานเกี่ยวกับแพ็กเก็ต และช่องว่างระหว่างสองข้อความนี้คือที่ที่งานส่วนใหญ่เกิดขึ้น

ค้นหานโยบายที่รับเซสชันจริง ๆ

NPS ประเมินนโยบายเครือข่ายตามลำดับ และกฎแรกที่เปิดใช้งานซึ่งเงื่อนไขตรงกันจะเป็นผู้ชนะ นโยบายที่กว้างและอยู่ก่อนในรายการจึงรับการเชื่อมต่อก่อนที่กฎที่แคบกว่าซึ่งอยู่ถัดลงไปจะถูกพิจารณา ลำดับไม่ใช่รายละเอียดของอินเทอร์เฟซ ลำดับคือนโยบาย

อ่านรายการตามลำดับและระบุรายการที่ตรงกัน จากนั้นบันทึกว่าส่งค่าการตั้งค่าใดกลับมา ชื่อกลุ่มในตัวแก้ไขไม่ใช่ผลลัพธ์ ผลลัพธ์คือการอนุญาตที่เซิร์ฟเวอร์ได้รับ แยกการอนุญาตของผู้ใช้และการอนุญาตของอุปกรณ์ออกจากกันในที่ที่การติดตั้งใช้ทั้งสองอย่าง เพราะบัญชีที่เปิดทันเนลได้ไม่ใช่บัญชีที่ควรเข้าถึงทุกบริการภายในโดยอัตโนมัติ

การตอบกลับ RADIUS คือคำสั่ง ไม่ใช่ตัวกรอง

แอตทริบิวต์ Filter-Id มีชื่อของรายการตัวกรอง ไม่ได้ส่งชุดกฎการกรองแพ็กเก็ตที่พกพาได้ซึ่งผู้รับทุกคนเข้าใจ และการส่งชื่อที่เกตเวย์ไม่เคยกำหนดก็ไม่ได้บังคับใช้สิ่งใดเลย ข้อควรระวังเดียวกันใช้กับแอตทริบิวต์ VLAN: การกำหนดเซสชันทันเนลให้กับ VLAN ไม่ใช่กฎการเข้าถึงแบบกำหนดเส้นทางสำหรับผู้ใช้รายนั้นด้วยตัวเอง

นี่คือจุดที่ดีไซน์ที่ดูสมบูรณ์ในฝั่ง NPS ไม่ทำอะไรเลยอย่างเงียบ ๆ ยืนยันจากเอกสารของผู้จำหน่ายเกตเวย์ว่าแอตทริบิวต์การอนุญาตใดรองรับ และผู้รับทำอะไรกับแต่ละตัว แทนที่จะถือว่าชื่อแอตทริบิวต์มาตรฐานหมายถึงพฤติกรรมมาตรฐาน

วางการบังคับใช้ไว้ที่ที่ทราฟฟิกผ่าน

เกตเวย์ที่ประมวลผลแพ็กเก็ตของผู้ใช้สามารถใช้ตัวกรองต่อเซสชัน จับคู่กลุ่มกับนโยบายของเกตเวย์ หรือให้ที่อยู่แก่เซสชันจากพูลที่แยกออกซึ่งไฟร์วอลล์จัดการต่างออกไป ทางเลือกใดก็ตามเหล่านี้อาจทำงานได้ และล้มเหลวต่างกัน ระบุว่าเกตเวย์ของคุณรองรับกลไกใดก่อนเขียนนโยบายที่เรียกชื่อมัน จากนั้นเขียนว่าเกิดอะไรขึ้นกับเซสชันเมื่อกลไกนั้นหายไป เพราะความเงียบคือค่าเริ่มต้น

อธิบายสิทธิ์ที่ตั้งใจไว้เป็นสี่ส่วน: ตัวตนของแหล่งที่มาหรือกลุ่ม ปลายทาง โปรโตคอล และพอร์ต เพิ่มการพึ่งพาที่ผู้ใช้ต้องการจริง เช่น DNS หรือบริการพิสูจน์ตัวตน มิฉะนั้นข้อจำกัดจะทำให้ขั้นตอนการเข้าสู่ระบบที่ไม่มีใครคิดจะทดสอบเสียหาย เขียนกฎกับอินเทอร์เฟซที่กรองจริง ไม่ใช่กับอินเทอร์เฟซที่บังเอิญเปิดอยู่ในตัวแก้ไข

พิจารณาการแปลที่อยู่ด้วย หากไฟร์วอลล์ปลายทางเห็นที่อยู่ต้นทางที่แปลแล้วเพียงที่เดียวสำหรับผู้ใช้ทันเนลทุกคน มันแยกบุคคลจากที่อยู่นั้นเพียงอย่างเดียวไม่ได้ และกฎที่เขียนราวกับทำได้จะไร้ประโยชน์หรือกว้างเกินไป

โปรไฟล์ไคลเอนต์อาศัยอยู่ฝั่งที่ไม่น่าเชื่อถือ

โปรไฟล์ VPN ที่จัดการได้สามารถผลักเส้นทาง กฎทันเนลแบบแยกส่วน หรือตัวกรองแอปพลิเคชัน และสิ่งเหล่านี้หล่อหลอมว่าอุปกรณ์ที่ประพฤติดีจะทำงานอย่างไร สิ่งเหล่านี้ไม่ใช่การป้องกันสำหรับบริการ เพราะไคลเอนต์คือฝ่ายที่คุณพยายามจำกัด การลบเส้นทางในโปรไฟล์ก็ไม่ใช่การอนุญาตเช่นกัน เนื่องจากไคลเอนต์อาจมีเส้นทางอื่นไปยังปลายทางเดียวกัน

มองการตั้งค่าไคลเอนต์เป็นความสะดวก และการตั้งค่าเกตเวย์เป็นการควบคุม เมื่อสองอย่างขัดกัน เกตเวย์ถูก เพราะมันคือสิ่งที่เห็นแพ็กเก็ต

ยอมรับด้วยสองบัญชี แล้วติดตามตามลำดับ

สร้างบัญชีทดสอบธรรมดาสองบัญชีที่มีสิทธิ์ตั้งใจต่างกัน สร้างเซสชันใหม่ และตรวจสอบนโยบายเกตเวย์ที่มีผลสำหรับแต่ละบัญชี จากนั้นทดสอบการดำเนินการที่ได้รับอนุญาตอย่างไม่เป็นอันตรายหนึ่งอย่างและทรัพยากรที่ถูกปฏิเสธโดยเฉพาะหนึ่งอย่าง ping ที่ล้มเหลวพิสูจน์ได้น้อยมากด้วยตัวเอง เพราะ ICMP อาจถูกกรองในขณะที่บริการ TCP เบื้องหลังตอบอย่างเต็มใจ

เมื่อทั้งสองบัญชียังได้การเข้าถึงกว้าง ให้ติดตามตามลำดับที่แน่นอน: นโยบายใดตรงกัน การตอบกลับนำการอนุญาตใดมา และเกตเวย์ทำอะไรกับมัน การเพิ่มแอตทริบิวต์ NPS มากขึ้นก่อนยืนยันว่าผู้รับนำไปใช้คือวิธีที่ปัญหาการอนุญาตเล็ก ๆ กลายเป็นหน้าต่างการเปลี่ยนแปลงที่ไม่มีผลลัพธ์