Een toestel van VPN blokkeer sonder om die hele rekening te deaktiveer

Een werknemer, twee skootrekenaars, en net een van hulle moet toegang verloor. Om die rekening te deaktiveer is die ooglopende hefboom, maar dit tref die verkeerde omvang, terwyl die verwydering van 'n gestoorde profiel op die eindpunt 'n voorstel is eerder as 'n beheer. Die besluit kom neer op drie voorwaardes: of daar 'n toestelidentiteit bestaan wat die VPN kan verifieer, of hierdie spesifieke verbinding dit werklik evalueer, en wat jy met die toestel wil laat gebeur eerder as met die persoon. Beantwoord hulle in daardie orde, en die handhawing kies gewoonlik homself.

Eerste voorwaarde: is daar toestelbewyse wat die VPN kan verifieer?

'n Bronadres word agter kantoor-NAT gedeel en verander op selfoonnetwerke. 'n Gasheernaam is net wat die toestel beweer, 'n MAC-adres word maklik vervals, en 'n registerwaarde kan deur enigiets met plaaslike regte geskryf word. Nie een daarvan is 'n identiteit voordat iets dit verifieer nie. 'n Apart ingeskrewe toestelbewys, soos 'n sertifikaat wat aan daardie eindpunt uitgereik is, is die een opsie wat herroeping 'n teiken gee wat smaller is as die gebruiker se rekening.

Die bewys tel net as die verbinding daarmee verifieer en die ketting by elke poging valideer. 'n Leer wat in die masjien se stoor sit, bewys niks.

Tweede voorwaarde: evalueer hierdie verbinding dit?

Eindpuntkenmerke is nie universeel nie. Op 'n ASA skei Cisco se ASDM DAP-gids gebruikers-AAA-inligting van eindpuntassesseringskenmerke, en watter kenmerke beskikbaar is, hang af van die protokol vir afstandtoegang wat gebruik word, die postuur-gereedskap wat ontplooi is, en die lisensie. 'n Registerkontrole benodig die ondersteunde versamelpad, en selfs dan rapporteer dit wat die eindpuntinstrument gesien het, nie dat die masjien die een is wat jy vertrou nie.

Die praktiese vraag is dus smal: op hierdie tonnel, met hierdie kliënt en hierdie postuur-agent, watter kenmerk kom gevul en betroubaar aan? As die antwoord niks is nie, sal 'n beleid wat daarteen geskryf is niks of alles pas, en beide uitkomste is slegter as die rekeningtoesluit wat jy vermy het.

Derde voorwaarde: verwerping, remediëring of smaller toegang?

Drie uitkomste is beskikbaar en hulle is nie uitruilbaar nie. Jy kan die sessie beëindig, wat toegang heeltemal verwyder; jy kan die toestel in kwarantyn plaas in 'n toestand waar dit net remediëringshulpbronne kan bereik; of jy kan die sessie laat staan en die hulpbron-ACL sny tot die paar dinge wat daardie toestel nog nodig het. DAP-sessieaksies en hulpbron-ACL's beantwoord verskillende vrae, so die keuse gaan oor hoeveel kollaterale skade die persoon moet absorbeer.

Vir 'n verlore of gesteelde skootrekenaar is die antwoord gewoonlik beëindiging. Vir 'n masjien wat 'n postuurtoets gefaal het, is remediëring vriendeliker en net so doeltreffend.

Besluit wat gebeur wanneer die bewyse ontbreek

Die verstekpad maak meer saak as die reël wat jy vir die goeie geval geskryf het. As die verwagte kenmerk nooit aankom nie omdat die postuur-agent stukkend is, kan 'n beleid wat dit vereis deurval na 'n verstek wat die sessie toelaat. Lees die verstekresultaat en toets die geval van afwesige bewyse doelbewus, want dit is die toestand wat 'n aanvaller wat die agent verwyder, sal voorhou.

Verskeie DAP-rekords wat pas, word saamgevoeg eerder as deur eenvoudige eerste-pas-volgorde opgelos, en hulle ACL-prioriteit is 'n aparte meganisme van rekordkeuse. Lees die gids se beskrywing van samevoeging voordat jy aanvaar die strenger rekord wen.

Hanteer sessies wat reeds bestaan, en toets dan beide toestelle

'n Toelatingsreël verander of 'n bewys herroep beskryf nie wat met 'n sessie gebeur wat reeds gevestig is en verkeer deurlaat nie. As onmiddellike verwydering die vereiste is, volg die implementering se ondersteunde sessiebeëindiging- en herevalueringsprosedure in plaas daarvan om vir die volgende herverbinding te wag. Dit is die stap wat die meeste tydens 'n voorval oorgeslaan word, en dit is die verskil tussen 'n beleid en 'n uitkoms.

Toets met dieselfde toegelate gebruiker op beide masjiene onder 'n goedgekeurde kontrole. Die geblokkeerde toestel moet presies die beoogde weiering of remediëringsuitkoms ontvang, en die ander moet net sy gemagtigde hulpbronne behou. Dit verifieer die toestelgrens sonder om die persoon se ander goedgekeurde toegang te herroep.

As jy nie daardie twee uitkomste kan laat verskil nie, is die probleem die bewyse, nie die beleid nie, en geen hoeveelheid reëlverstelling sal dit regmaak nie.