NPS Grup İlkesi, VPN Kaynak Kısıtlaması Değildir

İki grup, iki erişim profili, tek bir VPN ağ geçidi ve her iki grup da sonunda aynı sunuculara erişiyor. Bunun olağan nedeni bozuk bir ilke değil, tasarımın eksik kalan ikinci yarısıdır: NPS kimin oturum kurabileceğine karar verir, o oturumun neye erişebileceğine ise başka bir şeyin karar vermesi gerekir. Yalnızca ilk yarı varsa, kimlik doğrulaması yapan herkes için yetkilendirme başarılı olur. İlke kendi işini yapıyor ve tasarım hâlâ eksik.

Gruba göre eşleşen bir ağ ilkesi, kabul sürecine ilişkin bir kanıttır. Paketlere ilişkin bir kanıt değildir ve bu işin çoğu, iki ifade arasındaki boşlukta gerçekleşir.

Oturumu gerçekte hangi ilkenin kabul ettiğini bulun

NPS sıralı ağ ilkelerini değerlendirir ve koşulları eşleşen ilk etkin kural kazanır. Koşullar arasında kullanıcı veya bilgisayar grubu üyeliği, bağlantı türü, saat ve cihaz durumu yer alabilir. Bu nedenle listenin başına yerleştirilen geniş bir ilke, aşağıdaki daha dar bir kural hiç dikkate alınmadan bir bağlantıyı kabul eder. Sıralama arayüzün bir ayrıntısı değildir; ilkenin kendisidir.

Listeyi sırayla okuyun ve eşleşen ilkeyi belirleyin, ardından hangi ayarları döndürdüğünü not edin. Düzenleyicideki grup adı sonuç değildir; sonuç, sunucunun aldığı yetkilendirmedir. Dağıtım her ikisini de kullanıyorsa kullanıcı yetkilendirmesini ve cihaz yetkilendirmesini ayrı tutun, çünkü tünel açabilen bir hesap otomatik olarak her iç hizmete erişmesi gereken bir hesap değildir.

RADIUS yanıtı bir talimattır, filtre değil

Bir Filter-Id özniteliği, bir filtre listesinin adını taşır. Her alıcının anladığı taşınabilir bir paket filtresi kuralı kümesi göndermez ve ağ geçidinin hiç tanımlamadığı bir adı göndermek hiçbir şey uygulamaz. Aynı uyarı VLAN öznitelikleri için de geçerlidir: bir tünel oturumunu bir VLAN'a atamak, tek başına o kullanıcı için yönlendirilmiş bir erişim kuralı değildir.

NPS tarafında eksiksiz görünen bir tasarımın sessizce hiçbir şey yapmadığı yer burasıdır. Standart bir öznitelik adının standart davranış anlamına geldiğini varsaymak yerine, hangi yetkilendirme özniteliklerinin desteklendiğini ve alıcının her biriyle ne yaptığını ağ geçidi satıcısının belgelerinden doğrulayın.

Yaptırımı trafiğin geçtiği yere koyun

Kullanıcının paketlerini işleyen bir ağ geçidi oturum başına filtre uygulayabilir, bir grubu ağ geçidi ilkesiyle eşleştirebilir veya oturuma güvenlik duvarının farklı davrandığı ayrı bir havuzdan adres verebilir. Bunlardan herhangi biri işe yarayabilir ve farklı biçimlerde başarısız olurlar. Onu adlandıran ilkeyi yazmadan önce ağ geçidinizin hangi mekanizmayı desteklediğini belirleyin. Ardından o mekanizma yokken bir oturuma ne olduğunu yazın, çünkü varsayılan sessizliktir.

Amaçlanan izni dört parçada tanımlayın: kaynak kimlik veya grup, hedef, protokol ve bağlantı noktası. Kullanıcının gerçekten ihtiyaç duyduğu DNS veya bir kimlik doğrulama hizmeti gibi bağımlılıkları ekleyin, aksi halde kısıtlama kimsenin test etmeyi düşünmediği oturum açma akışlarını bozar. Kuralı gerçekte filtreleyen arayüze göre yazın, düzenleyicide açık olan arayüze göre değil.

Çeviriyi de hesaba katın. Alt akıştaki bir güvenlik duvarı her tünel kullanıcısı için tek bir çevrilmiş kaynak adresi görüyorsa, yalnızca bu adresten kişileri ayırt edemez ve bunu yapabildiğini varsayan bir kural ya işe yaramaz ya da gereğinden geniş olur.

İstemci profilleri güvenilmeyen tarafta yaşar

Yönetilen bir VPN profili rotalar, bölünmüş tünel kuralları veya uygulama filtreleri gönderebilir ve bunlar düzgün davranan bir cihazın davranışını biçimlendirir. Hizmet için koruma değildirler, çünkü sınırlamaya çalıştığınız taraf istemcidir. Bir profildeki rotayı kaldırmak da yetkilendirme değildir, çünkü bir istemcinin aynı hedefe başka bir yolu olabilir.

İstemci ayarlarını kolaylık, ağ geçidi ayarlarını denetim olarak değerlendirin. İkisi çeliştiğinde ağ geçidi haklıdır, çünkü paketleri gören odur.

İki hesapla kabul edin, sonra sırayla izleyin

Farklı amaçlanan izinlere sahip iki sıradan test hesabı oluşturun, yeni oturumlar kurun ve her biri için etkin ağ geçidi ilkesini kontrol edin. Ardından zararsız bir izin verilen işlemi ve özellikle reddedilen bir kaynağı test edin. Başarısız bir ping tek başına çok az şey kanıtlar, çünkü ICMP filtrelenirken arkasındaki TCP hizmeti sorunsuz yanıt veriyor olabilir.

Her iki hesap da hâlâ geniş erişim elde ediyorsa sabit bir sırayla izleyin: hangi ilke eşleşti, yanıt hangi yetkilendirmeyi taşıdı ve ağ geçidi onunla ne yaptı. Alıcının bunları uyguladığını doğrulamadan daha fazla NPS özniteliği eklemek, küçük bir yetkilendirme sorununu sonuçsuz bir değişiklik penceresine dönüştürmenin yoludur.