NPS guruh siyosati VPN resurslarini majburiy ijro etish emas

Ikki guruh, ikki kirish profili, bitta VPN shlyuzi, va ikkala guruh ham oxir-oqibat bir xil serverlarga yetib boradi. Odatiy sabab buzilgan siyosat emas, balki dizaynning yetishmayotgan ikkinchi yarmidir: NPS kim seans o'rnatishi mumkinligini hal qiladi, bu seans nimaga yetib borishi mumkinligini esa boshqa narsa hal qilishi kerak. Faqat birinchi yarmi mavjud bo'lsa, autentifikatsiyadan o'tgan har bir kishi uchun avtorizatsiya muvaffaqiyatli bo'ladi. Siyosat o'z ishini qilyapti, dizayn esa hali ham to'liq emas.

Guruh bo'yicha mos kelgan tarmoq siyosati kirishga oid dalildir. Bu paketlarga oid dalil emas va bu ishning katta qismi aynan shu ikki gap orasidagi bo'shliqda sodir bo'ladi.

Seansni haqiqatda qabul qilgan siyosatni toping

NPS tartiblangan tarmoq siyosatlarini baholaydi va shartlari mos keladigan birinchi yoqilgan qoida yutadi. Shartlar foydalanuvchi yoki kompyuter guruhi a'zoligini, ulanish turini, vaqtni va qurilma holatini o'z ichiga olishi mumkin. Shu sababli ro'yxatda oldinroq turgan keng siyosat, pastdagi torroq qoida umuman ko'rib chiqilishidan oldin ulanishni qabul qiladi. Tartib interfeysning mayda detali emas; bu siyosatning o'zi.

Ro'yxatni tartib bilan o'qing va mos kelganini aniqlang, so'ng u qaysi sozlamalarni qaytarganini yozib qo'ying. Tahrirlovchidagi guruh nomi natija emas; natija server olgan avtorizatsiya. Joylashtirish ikkalasidan ham foydalansa, foydalanuvchi avtorizatsiyasi bilan qurilma avtorizatsiyasini alohida tuting, chunki tunnel ocha oladigan hisob avtomatik ravishda har bir ichki xizmatga yetib borishi kerak bo'lgan hisob emas.

RADIUS javobi ko'rsatma, filtr emas

Filter-Id atributi filtr ro'yxatining nomini olib yuradi. U har bir qabul qiluvchi tushunadigan ko'chiriladigan paket filtri qoidalari to'plamini yubormaydi va shlyuz hech qachon belgilamagan nomni yuborish umuman hech narsani ijro etmaydi. Xuddi shu ehtiyot VLAN atributlariga ham tegishli: tunnel seansini VLANga biriktirish o'z-o'zidan bu foydalanuvchi uchun marshrutlangan kirish qoidasi emas.

NPS tomonida to'liq ko'rinadigan dizayn aynan shu yerda indamay hech narsa qilmaydi. Standart atribut nomi standart xatti-harakatni anglatadi deb taxmin qilish o'rniga, qaysi avtorizatsiya atributlari qo'llab-quvvatlanishini va qabul qiluvchi har biri bilan nima qilishini shlyuz yetkazib beruvchisining hujjatlaridan tasdiqlang.

Majburiy ijroni trafik o'tadigan joyga qo'ying

Foydalanuvchining paketlarini qayta ishlaydigan shlyuz seans bo'yicha filtr qo'llashi, guruhni shlyuz siyosatiga bog'lashi yoki seansga xavfsizlik devori boshqacha muomala qiladigan alohida hovuzdan manzil berishi mumkin. Ulardan har biri ishlashi mumkin va ular turli yo'llar bilan ishlamay qoladi. Uni nomlaydigan siyosatni yozishdan oldin shlyuzingiz qaysi mexanizmni qo'llab-quvvatlashini aniqlang. So'ng bu mexanizm yo'q bo'lganda seans bilan nima bo'lishini yozib qo'ying, chunki sukut bo'yicha jimjitlik hukm suradi.

Ko'zda tutilgan ruxsatni to'rt qismda ta'riflang: manba identifikatori yoki guruh, manzil, protokol va port. Foydalanuvchiga haqiqatan kerak bo'lgan bog'liqliklarni, masalan DNS yoki autentifikatsiya xizmatini qo'shing, aks holda cheklov hech kim sinab ko'rishni o'ylamagan kirish oqimlarini buzadi. Qoidani haqiqatda filtrlaydigan interfeysga qarab yozing, tahrirlovchida tasodifan ochiq turgan interfeysga qarab emas.

Tarjimani ham hisobga oling. Agar quyi oqimdagi xavfsizlik devori har bir tunnel foydalanuvchisi uchun bitta tarjima qilingan manba manzilini ko'rsa, u faqat shu manzildan odamlarni ajrata olmaydi va buni qila oladigandek yozilgan qoida yo foydasiz, yo haddan tashqari keng bo'ladi.

Mijoz profillari ishonchsiz tomonda yashaydi

Boshqariladigan VPN profili marshrutlarni, bo'lingan tunnel qoidalarini yoki ilova filtrlarni yuborishi mumkin va bular odobli qurilmaning xatti-harakatini shakllantiradi. Ular xizmat uchun himoya emas, chunki mijoz siz cheklashga urinayotgan tomon. Profildagi marshrutni olib tashlash ham avtorizatsiya emas, chunki mijozning o'sha manzilga boshqa yo'li bo'lishi mumkin.

Mijoz sozlamalarini qulaylik, shlyuz sozlamalarini nazorat deb biling. Ikkisi ziddiyatga tushganda shlyuz haq, chunki paketlarni aynan u ko'radi.

Ikki hisob bilan qabul qiling, so'ng tartib bilan kuzatib boring

Turli ko'zda tutilgan ruxsatlarga ega ikkita oddiy sinov hisobini yarating, yangi seanslar o'rnating va har biri uchun amaldagi shlyuz siyosatini tekshiring. So'ng bitta zararsiz ruxsat etilgan amalni va ayniqsa taqiqlangan resursni sinab ko'ring. Muvaffaqiyatsiz ping o'zi juda kam narsani isbotlaydi, chunki ICMP filtrlangan bo'lishi mumkin, orqasidagi TCP xizmati esa bemalol javob beraveradi.

Ikkala hisob ham hanuz keng kirishga ega bo'lsa, qat'iy tartibda kuzatib boring: qaysi siyosat mos keldi, javob qanday avtorizatsiyani olib keldi va shlyuz u bilan nima qildi. Qabul qiluvchi ularni amalga oshirishini tasdiqlashdan oldin yana NPS atributlarini qo'shish kichik avtorizatsiya muammosini natijasiz o'zgartirish oynasiga aylantirishning yo'li.