موجّه VPN غير المصرّح به: ضبط القبول قبل فك التشفير

الموجّه المجهول الذي يظهر على منفذ تبديل داخلي ويفتح فورًا نفق VPN صادرًا قد تجاوز بالفعل الضبط الأهم. يحدّد القبول ما إذا كان الجهاز سيحصل على وصول شبكي قابل للاستخدام أصلًا، بينما يخبرك فك التشفير فقط بما فعله بعد ذلك. ضبط هذا الترتيب على النحو الصحيح يحوّل مشكلة تفتيش مستحيلة إلى مسألة سياسة منافذ روتينية. وهو أيضًا الفرق بين إجراء قابل للتراجع وانقطاع الخدمة.

القبول يُحسم عند المنفذ

اسأل كيف حصل الجهاز على اتصال قابل للاستخدام قبل أن تسأل عمّا يحمله نفقُه. الموجّه الموصول بمنفذ حائط نشط، أو العميل اللاسلكي الذي انضم إلى SSID مفتوح، قُبل بموجب السياسة التي يطبّقها ذلك المنفذ أو ذلك الـ SSID. وإذا كانت تلك السياسة تنصّ على أن "أي شيء يُوصَل يحصل على VLAN عاملة"، فإن الـ VPN عرَض لا ثغرة.

عقد DHCP ليس سجل تفويض. فالحصول على عنوان، أو عدم الحصول عليه، يصف خدمة إسناد العناوين لا حالة المنفذ، وكثير من التصاميم تتيح لجهاز غير موثّق الوصول إلى خادم مساعد مع منع كل ما سواه. تعامل مع جدول العقود كدليل على العنونة، لا على الثقة.

ثلاثة أنواع من الأدلة تختلط في هذه التحقيقات: شخص معتمد، وجهاز مُدار معتمد، وإدخال في ورقة جرد. ينبغي أن تكون سياسة المنفذ صريحة بشأن أيّها تقبل، لأن بيانات اعتماد مسروقة وعنوان MAC مستنسخًا يلبّيان أنواعًا مختلفة.

ما يقرّره المنفذ الموثّق فعليًا

مع IEEE 802.1X، يكون المبدّل أو نقطة الوصول هو الموثِّق، ويُمرّر بيانات اعتماد المزوِّد إلى خدمة مركزية بصفته عميل RADIUS. وتتيح سمات RADIUS 802.1X لتلك النتيجة تفويض المنفذ، ووضع الجلسة، حسب التصميم، في VLAN معيّنة أو في سياق محاسبة معيّن. ولا يفرض المبدّل ما يعيده خادم السياسة إلا إذا كان المنفذ مُهيّأً لفرضه.

هذا الشرط الأخير هو حيث تفشل عمليات النشر بهدوء. فالمنفذ المتروك في وضع المراقبة أو التسجيل يسجّل القرار المحتمل ويواصل تمرير حركة المرور، فيبدو في كل تقرير كعملية نشر عاملة إلى أن يُوصِل أحدهم موجّهًا غير مُدار.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

الأجهزة التي لا تستطيع تشغيل مزوّد تحتاج إلى قرار منفصل، لا إلى استثناء شامل. فتجاوز مصادقة MAC، أو بوابة تسجيل، أو VLAN مخصّصة للأجهزة، كلها إجابات مشروعة، لكن يجب اختيار كل منها بوعي وتوثيقه. اكتب أي أصناف الأجهزة يجوز لها استخدام البديل ومن يعتمدها. والبديل غير الموثّق هو بالضبط الطريق الذي يحصل به موجّه غير مُدار على VLAN عاملة دون موافقة أحد.

ما يمكنك رؤيته دون فك التشفير

التشفير يخفي الحمولات، لا السلوك. فتبقى عناوين المصدر والوجهة والمنافذ وتوقيت الحزم وحجم التدفق ومدة الجلسة مرئية عند الحدود التي تجمعها فيها، وهذه البيانات الوصفية كثيرًا ما تكفي لربط جهاز غير مألوف بمنفذ ووجهة صادرة. وأما ما لا يمكنك قراءته فهو التطبيق داخل النفق، ولا يغيّر أي قدر من التقاط الحزم ذلك دون مفاتيح.

النفق المستمر ليس ضارًّا تلقائيًا. فوصلات الموقع إلى الموقع ووكلاء النسخ الاحتياطي وأدوات الإدارة عن بُعد تعمل باستمرار بحكم التصميم، لذا فتدفق يستمر طوال الليل لا يثبت شيئًا بذاته. قارنه بالدور المسنَد إلى ذلك الأصل وبالخط الأساسي المعتمد لشريحته.

اضبط نطاق الخروج بقصد. فالسماح بمنفذ وجهة ليس مثل اعتماد التطبيق الذي يستخدمه، وتخمين أي مصنّف ليس قرار تفويض. اجمع البيانات الوصفية التي تحتاجها للتحقيق، بمالك مسمّى ونافذة احتفاظ، بدلًا من أن يكون الالتقاط الكامل لحركة كل مستخدم هو الخيار الافتراضي.

احتواء عبر الحدود التي تتحكم بها

قبل أن تعزل أي شيء، تأكد من يملك الجهاز وأين هو موصول. ثم استخدم عملية الحوادث لتقييد المنفذ أو إبطال الجلسة، مع الحفاظ على السجلات ذات الصلة ما دامت الأدلة طازجة. يمكن تعطيل منفذ مبدّل وإعادة تفعيله؛ أما وصلة صاعدة إنتاجية تخدم أربعين مكتبًا فلا يمكن التراجع عنها بالسهولة نفسها.

لا تشنّ هجومًا مضادًّا على الطرفية، ولا تعطّل منفذًا مشتركًا لأن فحصًا أشار إلى بروتوكول VPN. فكلا الإجراءين يقطع عملًا مشروعًا دون تحسين قرار القبول الذي سمح بدخول الجهاز أصلًا.

اختبار القبول ملموس: الطرفية المعتمدة ما زالت تحصل على الوصول الذي يتطلبه دورها، والجهاز غير المعتمد لا يستطيع الحصول على مسار مكافئ. والمراقبة تدعم تلك الحدود، وليست بحاجة إلى كسر تشفير أحد لتستحق الجهد.