🚦Hiểu Rõ Luồng Xử Lý Kết Nối Trong NPS (Network Policy Server)

[dangquangminh]

🚦Hiểu Rõ Luồng Xử Lý Kết Nối Trong NPS (Network Policy Server)


Bạn từng gặp lỗi khi dùng VPN hay khi RADIUS từ chối truy cập dù user đã được cấp quyền? Một trong những nguyên nhân chính nằm ở thứ tự xử lý chính sách trong NPS – và sơ đồ sau đây chính là “bản đồ tư duy” để bạn xử lý vấn đề đó.

Hãy cùng tôi – với vai trò là một kỹ sư hệ thống và giảng viên MCT – phân tích từng bước xử lý của NPS khi nhận được một yêu cầu kết nối.

---

🧭 Bắt đầu: Có chính sách nào được cấu hình không?


Khi máy chủ NPS nhận một yêu cầu xác thực (ví dụ từ VPN, Wi-Fi 802.1X hoặc Dial-in), nó bắt đầu kiểm tra danh sách các Network Policies.

• Nếu không có chính sách nào, hệ thống mặc định từ chối yêu cầu.
• Nếu có, nó bắt đầu xét từng chính sách theo thứ tự ưu tiên từ trên xuống.

---

🧪 Bước 1: Kiểm tra điều kiện chính sách


Với mỗi chính sách, hệ thống sẽ hỏi:

• Yêu cầu kết nối có khớp điều kiện của policy không?

Nếu không khớp, NPS chuyển sang chính sách tiếp theo.

---

🔒 Bước 2: Kiểm tra quyền truy cập từ tài khoản người dùng


Nếu khớp điều kiện chính sách, NPS sẽ xét đến các quyền được cấu hình ở 2 cấp:

• User account (trong AD): có thể “Allow”, “Deny” hoặc “Control access through NPS”.
• Policy settings (trong NPS): có thể “Grant access” hoặc “Deny access”.

NPS kiểm tra theo logic:

1. Nếu user bị explicit Deny từ AD → Từ chối ngay.
2. Nếu user được Allow từ AD → Tiếp tục xét đến policy.
3. Nếu user không có thiết lập rõ (mặc định) → Dựa vào policy để quyết định.

---

🚫 Bước 3: Kiểm tra quyền truy cập trong policy

• Nếu policy thiết lập “Deny remote access permission” → Từ chối.
• Nếu không từ chối, hệ thống tiếp tục kiểm tra các thiết lập trong profile như:
  • Loại kết nối
  • Time-of-day constraints
  • Group membership
  • Tunnel type
  • Và nhiều điều kiện khác

Nếu các điều kiện khớp tất cả, kết nối được chấp nhận.

---

🟢 Kết quả cuối cùng


Chỉ khi yêu cầu vượt qua toàn bộ các bước trên – từ khớp điều kiện chính sách, có quyền ở cả user và policy, và phù hợp với thiết lập profile – thì kết nối mới được chấp nhận.

Ngược lại, chỉ cần một bước không đạt → NPS sẽ từ chối yêu cầu kết nối.

---

🔁 Ví dụ thực tế

• Một người dùng thuộc nhóm “VPN Users”, có policy cho phép truy cập VPN nhưng tài khoản trong AD bị thiết lập “Deny access” → Bị từ chối, dù policy có cho phép.
• Một người dùng không bị chặn ở AD, match policy, nhưng cấu hình profile của policy yêu cầu dùng L2TP/IPSec còn client lại dùng PPTP → Cũng sẽ bị từ chối.

---

📌 Kết luận


Việc hiểu rõ luồng xử lý chính sách NPS giúp bạn dễ dàng hơn trong việc:

• Debug lỗi xác thực VPN/Wi-Fi.
• Xây dựng chính sách truy cập theo nhóm.
• Triển khai mô hình xác thực tập trung (RADIUS-based).

👉 Nếu bạn là quản trị viên hệ thống hoặc đang học MCSA/MCSE, đây là một phần kiến thức bắt buộc phải nắm vững.