Bütün hesabı söndürmədən bir cihazı VPN-dən bloklamaq

Bir işçi, iki noutbuk və onlardan yalnız biri girişi itirməlidir. Hesabı söndürmək aşkar rıçaqdır, lakin yanlış əhatəni cəzalandırır; son nöqtədə saxlanmış profili silmək isə nəzarət deyil, təklifdir. Qərar üç şərtə bağlıdır: VPN-in yoxlaya biləcəyi cihaz şəxsiyyəti varmı, bu konkret bağlantı onu həqiqətən qiymətləndirirmi və şəxsə deyil, cihaza nə olmasını istəyirsiniz. Onları bu sıra ilə cavablandırın və tətbiq adətən özünü seçir.

Birinci şərt: VPN-in yoxlaya biləcəyi cihaz sübutu varmı?

Mənbə ünvanı ofis NAT-ı arxasında paylaşılır və mobil şəbəkələrdə dəyişir. Host adı cihazın iddia etdiyi şeydir, MAC ünvanı asanlıqla saxtalaşdırılır və qeyd dəyəri yerli hüquqları olan hər şey tərəfindən yazıla bilər. Bunların heç biri nə isə onu yoxlamayana qədər şəxsiyyət deyil. Ayrıca qeydiyyata alınmış cihaz etimadı, məsələn həmin son nöqtəyə verilmiş sertifikat, ləğvə istifadəçi hesabından daha dar hədəf verən yeganə seçimdir.

Etimad yalnız o halda sayılır ki, bağlantı onunla autentifikasiya edir və hər cəhddə zənciri yoxlayır. Maşının anbarında duran fayl heç nə sübut etmir.

İkinci şərt: bu bağlantı onu qiymətləndirirmi?

Son nöqtə atributları universal deyil. ASA-da Cisco-nun ASDM DAP bələdçisi istifadəçi AAA məlumatını son nöqtə qiymətləndirmə atributlarından ayırır və hansı atributların mövcud olması istifadə olunan uzaqdan giriş protokolundan, yerləşdirilmiş posture alətlərindən və lisenziyadan asılıdır. Qeyd yoxlaması dəstəklənən toplama yolunu tələb edir və hətta o zaman son nöqtə alətinin gördüyünü bildirir, maşının etibar etdiyiniz maşın olduğunu deyil.

Beləliklə praktik sual dardır: bu tuneldə, bu klient və bu posture agenti ilə hansı atribut dolu və etibarlı gəlir? Əgər cavab heç biri deyilsə, ona qarşı yazılmış siyasət heç nəyə və ya hər şeyə uyğun gələcək və hər iki nəticə çəkindiyiniz hesab kilidindən pisdir.

Üçüncü şərt: rədd, bərpa və ya daha dar giriş?

Üç nəticə mövcuddur və onlar bir-birini əvəz etmir. Sessiyanı dayandıra bilərsiniz, bu girişi tamamilə silir; cihazı yalnız bərpa resurslarına çata bildiyi vəziyyətə karantinə ala bilərsiniz; və ya sessiyanı açıq saxlayıb onun resurs ACL-ni o cihazın hələ ehtiyac duyduğu bir neçə şeyə qədər kəsə bilərsiniz. DAP sessiya əməliyyatları və resurs ACL-ləri fərqli suallara cavab verir, ona görə seçim şəxsin nə qədər yan təsirə dözməli olduğu ilə bağlıdır.

İtirilmiş və ya oğurlanmış noutbuk üçün cavab adətən dayandırmadır. Posture yoxlamasında uğursuz olan maşın üçün bərpa daha mülayim və eyni dərəcədə effektivdir.

Sübut olmadıqda nə olacağını qərar verin

Standart yol yaxşı hal üçün yazdığınız qaydadan daha vacibdir. Gözlənilən atribut posture agenti xarab olduğu üçün heç vaxt gəlməzsə, onu tələb edən siyasət sessiyanı qəbul edən standarta düşə bilər. Standart nəticəni oxuyun və sübutun olmadığı halı qəsdən sınaqdan keçirin, çünki agenti silən hücumçunun təqdim edəcəyi vəziyyət budur.

Uyğun gələn çoxsaylı DAP qeydləri sadə ilk-uyğun sıralaması ilə həll edilmir, aqreqasiya olunur və onların ACL prioriteti qeyd seçimindən ayrı mexanizmdir. Daha sərt qeydin qalib gəldiyini fərz etməzdən əvvəl bələdçinin aqreqasiya təsvirini oxuyun.

Artıq mövcud olan sessiyaları idarə edin, sonra hər iki cihazı sınayın

Qəbul qaydasını dəyişmək və ya etimadı ləğv etmək artıq qurulmuş və trafik keçirən sessiyaya nə olacağını təsvir etmir. Dərhal çıxarma tələb olunursa, növbəti yenidən qoşulmağı gözləmək əvəzinə tətbiqin dəstəklədiyi sessiya dayandırma və yenidən qiymətləndirmə proseduruna əməl edin. Bu, insident zamanı ən çox atlanan addımdır və siyasətlə nəticə arasındakı fərqdir.

Təsdiqlənmiş yoxlama altında hər iki maşında eyni icazəli istifadəçi ilə sınayın. Bloklanmış cihaz tam olaraq nəzərdə tutulan rədd və ya bərpa nəticəsini almalı, digəri isə yalnız icazəli resurslarını saxlamalıdır. Bu, şəxsin digər təsdiqlənmiş girişini ləğv etmədən cihaz sərhədini yoxlayır.

Bu iki nəticəni fərqləndirə bilmirsinizsə, problem siyasətdə deyil, sübutdadır və heç bir qayda tənzimləməsi bunu düzəltməyəcək.