Ongeoorloofde VPN-roeteerder: toegangsbeheer voor ontsyfering

'n Onbekende roeteerder wat op 'n interne skakelpoort verskyn en dadelik 'n uitgaande VPN oopmaak, het reeds die beheer verbygesteek wat die meeste saak maak. Toegang bepaal of die toestel hoegenaamd bruikbare netwerktoegang kry, terwyl ontsyfering net vir jou sê wat dit daarna gedoen het. Om daardie volgorde reg te kry, verander 'n onmoontlike ondersoekprobleem in 'n roetine-poortbeleidvraag. Dit is ook die verskil tussen 'n omkeerbare aksie en 'n onderbreking.

Toegang word by die poort beslis

Vra eers hoe die toestel bruikbare konnektiwiteit gekry het voordat jy vra wat sy tonnel dra. 'n Roeteerder wat aan 'n lewendige muurpoort gekoppel is, of 'n draadlose kliënt wat by 'n oop SSID aangesluit het, is toegelaat deur watter beleid daardie poort of SSID ook al toepas. As daardie beleid "enigiets wat inprop kry 'n werkende VLAN" is, is die VPN 'n simptoom eerder as die kwesbaarheid.

'n DHCP-huur is nie 'n magtigingsrekord nie. Om 'n adres te ontvang, of om nie een te ontvang nie, beskryf die adrestoewysingsdiens, nie die poort se toestand nie, en baie ontwerpe laat 'n ongemagtigde toestel 'n helper bereik terwyl alles anders geweier word. Behandel die huurtabel as bewyse oor adressering, nie oor vertroue nie.

Drie soorte bewyse word in hierdie ondersoeke verwar: 'n goedgekeurde persoon, 'n goedgekeurde bestuurde toestel en 'n inskrywing op 'n inventarisblad. Die poortbeleid moet duidelik wees oor watter van dié dit aanvaar, want 'n gesteelde geloofsbrief en 'n gekloonde MAC-adres bevredig verskillende soorte.

Wat 'n gemagtigde poort werklik beslis

Met IEEE 802.1X is die skakelaar of toegangspunt die authentiseerder, en dit stuur die supplikant se geloofsbriewe as 'n RADIUS-kliënt na 'n sentrale diens. Die RADIUS 802.1X-eienskappe laat daardie uitslag die poort magtig en, afhangend van die ontwerp, die sessie in 'n bepaalde VLAN of rekeningkundige konteks plaas. Die skakelaar dwing af wat die beleidbediener terugstuur net as die poort opgestel is om dit af te dwing.

Daardie laaste klousule is waar ontplooiings stilweg misluk. 'n Poort wat in monitor- of logmodus gelaat is, teken die besluit op wat sou wees en laat steeds verkeer deur, wat in elke verslag soos 'n werkende ontplooiing lyk totdat iemand 'n onbestuurde roeteerder inprop.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Toestelle wat nie 'n supplikant kan laat loop nie, het 'n aparte besluit nodig, nie 'n algemene uitsondering nie. MAC-verbypassing, 'n registrasieportaal of 'n toegewyde toestel-VLAN is almal wettige antwoorde, maar elkeen moet doelbewus gekies en gedokumenteer word. Skryf neer watter toestelklasse die terugval mag gebruik en wie hulle goedkeur. 'n Ongedokumenteerde terugval is presies hoe 'n onbestuurde roeteerder 'n werkende VLAN kry sonder dat iemand dit goedgekeur het.

Wat jy sonder ontsyfering kan sien

Enkripsie verberg nuttige vrag, nie gedrag nie. Bron- en bestemmingsadresse, poorte, pakkettidsberekening, vloeivolume en sessieduur bly sigbaar by die grens waar jy dit versamel, en daardie metadata is dikwels genoeg om 'n onbekende toestel aan 'n poort en 'n uitgaande bestemming te koppel. Wat jy nie kan lees nie, is die toepassing in die tonnel, en geen hoeveelheid pakketopname verander dit sonder sleutels nie.

'n Aanhoudende tonnel is nie outomaties kwaadwillig nie. Werf-tot-werf-skakels, rugsteunagente en afgeleë administrasiehulpmiddels loop ontwerpmatig deurlopend, so 'n vloei wat die hele nag duur, bewys op sigself niks. Vergelyk dit met die rol wat aan daardie bate toegewys is en met die goedgekeurde basislyn vir sy segment.

Beperk uitgaande verkeer doelbewus. Om 'n bestemmingspoort toe te laat is nie dieselfde as om die toepassing wat dit gebruik goed te keur nie, en 'n klassifiseerder se raaiskoot is nie 'n magtigingsbesluit nie. Versamel die metadata wat jy vir die ondersoek nodig het, met 'n genoemde eienaar en 'n bewaarvenster, eerder as om by verstek elke gebruiker se verkeer volledig op te neem.

Beperk deur die grens wat jy beheer

Voordat jy enigiets isoleer, bevestig wie die toestel besit en waar dit aangeheg is. Gebruik dan die voorvalproses om die poort te beperk of die sessie te herroep, en bewaar die relevante logboeke terwyl die bewyse nog vars is. 'n Skakelpoort kan gedeaktiveer en weer geaktiveer word; 'n produksie-opskakel wat veertig lessenaars bedien, kan nie so maklik ongedaan gemaak word nie.

Moenie die eindpunt teenaanval nie en moenie 'n gedeelde poort deaktiveer nie net omdat 'n skandering 'n VPN-protokol voorgestel het. Albei aksies onderbreek wettige werk sonder om die toegangsbesluit te verbeter wat die toestel oorspronklik toegelaat het.

Die aanvaardingstoets is konkreet: 'n goedgekeurde eindpunt kry steeds die toegang wat sy rol vereis, en 'n nie-goedgekeurde toestel kan nie 'n ekwivalente pad kry nie. Monitering ondersteun daardie grens, en dit hoef nie iemand se enkripsie te breek om die moeite werd te wees nie.