حجب جهاز واحد عن VPN دون تعطيل الحساب بالكامل

موظف واحد، وحاسوبان محمولان، وواحد فقط منهما يجب أن يفقد الوصول. تعطيل الحساب هو الرافعة البديهية لكنه يعاقب النطاق الخطأ، بينما حذف ملف تعريف محفوظ على الجهاز الطرفي اقتراح لا ضابط. يعود القرار إلى ثلاثة شروط: هل توجد هوية جهاز يستطيع VPN التحقق منها، وهل تقيّم هذه الاتصال بعينه تلك الهوية، وماذا تريد أن يحدث للجهاز بدلاً من الشخص. أجب عنها بهذا الترتيب، فعادةً ما يختار الإنفاذ نفسه.

الشرط الأول: هل توجد أدلة جهاز يستطيع VPN التحقق منها؟

عنوان المصدر مشترك خلف NAT المكتب وتغيّره الشبكات الجوّالة. اسم المضيف هو ما يدّعيه الجهاز، وعنوان MAC يمكن تزويره بسهولة، وقيمة في السجل يمكن لأي شيء يملك صلاحيات محلية كتابتها. لا شيء من ذلك هوية حتى يتحقق منه شيء ما. بيانات اعتماد جهاز مسجّلة بشكل منفصل، مثل شهادة صادرة لذلك الطرف، هي الخيار الوحيد الذي يمنح الإلغاء هدفاً أضيق من حساب المستخدم.

لا تُحتسب بيانات الاعتماد إلا إذا كانت الاتصال تصادق بها وتتحقق من السلسلة في كل محاولة. ملف موجود في مخزن الجهاز لا يثبت شيئاً.

الشرط الثاني: هل تقيّم هذه الاتصال ذلك؟

سمات الطرف ليست عالمية. على ASA، يفصل دليل ASDM DAP من Cisco معلومات AAA الخاصة بالمستخدم عن سمات تقييم الطرف، وتوفر السمات يعتمد على بروتوكول الوصول عن بُعد المستخدم وأدوات تقييم الحالة المنشورة والترخيص. يحتاج فحص السجل إلى مسار الجمع المدعوم، وحتى حينها يبلّغ عمّا رأته أداة الطرف، لا بأن الجهاز هو الذي تثق به.

لذا السؤال العملي ضيق: على هذا النفق، مع هذا العميل ووكيل الحالة هذا، أي سمة تصل مملوءة وموثوقة؟ إن كان الجواب لا شيء، فإن سياسة مكتوبة عليها ستطابق لا شيء أو تطابق كل شيء، وكلا النتيجتين أسوأ من قفل الحساب الذي كنت تتجنبه.

الشرط الثالث: الرفض أم المعالجة أم وصول أضيق؟

ثلاث نتائج متاحة وهي غير قابلة للتبادل. يمكنك إنهاء الجلسة، وهذا يزيل الوصول تماماً؛ أو يمكنك حجر الجهاز في حالة لا يصل فيها إلا إلى موارد المعالجة؛ أو يمكنك إبقاء الجلسة وقطع قائمة ACL للموارد إلى الأشياء القليلة التي لا يزال الجهاز يحتاجها. إجراءات جلسة DAP وقوائم ACL للموارد تجيب عن أسئلة مختلفة، لذا يتعلق الاختيار بمقدار الضرر الجانبي الذي يجب أن يتحمله الشخص.

بالنسبة لحاسوب محمول مفقود أو مسروق، الجواب عادةً هو الإنهاء. وبالنسبة لجهاز فشل في فحص الحالة، تكون المعالجة أرحم وبالغة الفعالية نفسها.

حدّد ما يحدث عندما تكون الأدلة غائبة

المسار الافتراضي يهم أكثر من القاعدة التي كتبتها للحالة الجيدة. إذا لم تصل السمة المتوقعة أبداً لأن وكيل الحالة معطل، فقد تسقط سياسة تشترطها إلى افتراضي يقبل الجلسة. اقرأ النتيجة الافتراضية واختبر حالة غياب الأدلة عمداً، لأنها الحالة التي سيقدمها مهاجم يزيل الوكيل.

سجلات DAP المتعددة المتطابقة تُجمَّع بدلاً من حلها بترتيب أول تطابق بسيط، وأولوية ACL الخاصة بها آلية منفصلة عن اختيار السجل. اقرأ وصف الدليل للتجميع قبل افتراض أن السجل الأكثر صرامة هو الذي يفوز.

تعامل مع الجلسات القائمة، ثم اختبر الجهازين

تغيير قاعدة قبول أو إلغاء بيانات اعتماد لا يصف ما يحدث لجلسة قائمة بالفعل وتمرر حركة. إذا كان الإزالة الفورية هي المطلوب، فاتبع إجراء إنهاء الجلسة وإعادة التقييم المدعوم في التنفيذ بدلاً من انتظار إعادة الاتصال التالية. هذه هي الخطوة التي تُتخطى غالباً أثناء الحادث، وهي الفرق بين سياسة ونتيجة.

اختبر بالمستخدم المسموح نفسه على الجهازين بموجب فحص معتمد. يجب أن يتلقى الجهاز المحجوب بالضبط نتيجة الرفض أو المعالجة المقصودة، ويحتفظ الآخر بموارده المصرح بها فقط. هذا يتحقق من حدود الجهاز دون إلغاء وصول الشخص الآخر المعتمد.

إذا لم تستطع جعل هاتين النتيجتين مختلفتين، فالمشكلة في الأدلة لا في السياسة، ولن يصلحها أي قدر من ضبط القواعد.