İcazəsiz VPN marşrutlaşdırıcısı: şifrə açılışından əvvəl giriş nəzarəti

Daxili kommutator portunda görünüb dərhal çıxış VPN-i açan naməlum marşrutlaşdırıcı artıq ən vacib nəzarətdən keçib. Giriş qərar verir ki, cihaz ümumiyyətlə istifadə edilə bilən şəbəkə çıxışı alacaqmı, şifrə açılışı isə yalnız sonradan nə etdiyini bildirir. Bu ardıcıllığı düzgün qurmaq qeyri-mümkün yoxlama problemini adi port siyasəti sualına çevirir. Bu həm də geri qaytarıla bilən hərəkətlə kəsinti arasındakı fərqdir.

Giriş portda qərarlaşdırılır

Cihazın istifadə edilə bilən əlaqəni necə əldə etdiyini soruşun, yalnız ondan sonra tunelinin nə daşıdığını soruşun. İşlək divar portuna qoşulan marşrutlaşdırıcı və ya açıq SSID-ə qatılan simsiz müştəri, həmin portun və ya SSID-in tətbiq etdiyi siyasətlə qəbul edilib. Əgər bu siyasət "qoşulan hər şey işlək VLAN alır" deməkdirsə, VPN zəiflik deyil, simptomdur.

DHCP icarəsi avtorizasiya qeydi deyil. Ünvan almaq və ya ala bilməmək ünvan təyinetmə xidmətini təsvir edir, portun vəziyyətini deyil və bir çox dizayn autentifikasiya olunmamış cihaza köməkçi xidmətə çıxış verərkən qalan hər şeyi rədd edir. İcarə cədvəlinə ünvanlaşdırma haqqında sübut kimi baxın, etimad haqqında deyil.

Bu araşdırmalarda üç növ sübut qarışdırılır: təsdiqlənmiş şəxs, təsdiqlənmiş idarə olunan cihaz və inventar vərəqindəki qeyd. Port siyasəti hansılarını qəbul etdiyini açıq deməlidir, çünki oğurlanmış etimad məlumatı ilə klonlaşdırılmış MAC ünvanı fərqli növləri ödəyir.

Autentifikasiya olunmuş port əslində nəyi qərarlaşdırır

IEEE 802.1X ilə kommutator və ya giriş nöqtəsi autentifikator rolunu oynayır və supplikantın etimad məlumatlarını RADIUS müştərisi kimi mərkəzi xidmətə ötürür. RADIUS 802.1X atributları həmin nəticənin portu avtorizasiya etməsinə və dizayndan asılı olaraq sessiyanı müəyyən VLAN-a və ya uçot kontekstinə yerləşdirməsinə imkan verir. Kommutator siyasət serverinin qaytardığını yalnız port bunu tətbiq etmək üçün konfiqurasiya edildiyi halda tətbiq edir.

Məhz sonuncu bənddə yerləşdirmələr səssizcə uğursuz olur. Monitorinq və ya log rejimində qoyulmuş port ehtimal olunan qərarı qeyd edir və yenə də trafiki keçirir, bu da hər hesabatda işlək yerləşdirmə kimi görünür — kimsə idarə olunmayan marşrutlaşdırıcı qoşana qədər.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Supplikant işlədə bilməyən cihazlar ümumi istisna deyil, ayrı qərar tələb edir. MAC autentifikasiyasının yan keçməsi, qeydiyyat portalı və ya ayrılmış cihaz VLAN-ı hamısı qanuni cavablardır, lakin hər biri qəsdən seçilməli və sənədləşdirilməlidir. Hansı cihaz siniflərinin ehtiyat varianta istifadə edə biləcəyini və onları kimin təsdiqlədiyini yazın. Sənədləşdirilməmiş ehtiyat variant idarə olunmayan marşrutlaşdırıcının heç kimin təsdiqi olmadan işlək VLAN almasının dəqiq yoludur.

Şifrəni açmadan nə görə bilərsiniz

Şifrələmə yükləri gizlədir, davranışı deyil. Mənbə və təyinat ünvanları, portlar, paket vaxtı, axın həcmi və sessiya müddəti onları topladığınız sərhəddə görünən qalır və bu metadatanın tanımadığı cihazı porta və çıxış təyinatına bağlamaq üçün çox vaxt kifayət edir. Oxuya bilmədiyiniz tunelin içindəki tətbiqdir və açarlar olmadan heç bir paket ələ keçirmə bunu dəyişmir.

Daimi tunel avtomatik olaraq zərərli deyil. Sayt-sayt bağlantıları, ehtiyat nüsxə agentləri və uzaqdan idarəetmə alətləri dizayn üzrə fasiləsiz işləyir, ona görə bütün gecə davam edən axın özlüyündə heç nə sübut etmir. Onu həmin aktiva təyin edilmiş rolla və seqmenti üçün təsdiqlənmiş baza xətti ilə müqayisə edin.

Çıxışı qəsdən məhdudlaşdırın. Təyinat portuna icazə vermək ondan istifadə edən tətbiqi təsdiqləməklə eyni deyil və təsnifatçının təxmini avtorizasiya qərarı deyil. Araşdırma üçün lazım olan metadatanı adlandırılmış sahib və saxlanma pəncərəsi ilə toplayın, hər istifadəçinin trafikini tam ələ keçirməyi standart etməyin.

Nəzarət etdiyiniz sərhəd vasitəsilə təcrid edin

Hər hansı şeyi təcrid etməzdən əvvəl cihazın kimə aid olduğunu və hara qoşulduğunu təsdiqləyin. Sonra insident prosesi ilə portu məhdudlaşdırın və ya sessiyanı ləğv edin, sübutlar hələ təzə ikən müvafiq qeydləri qoruyun. Kommutator portu söndürülüb yenidən işə salına bilər; qırx iş masasına xidmət edən istehsal uplink-i isə o qədər asanlıqla geri qaytarılmır.

Son nöqtəyə əks hücum etməyin və skan VPN protokolu təklif etdiyi üçün ortaq portu söndürməyin. Hər iki hərəkət cihazın ilk növbədə içəri buraxılmasına səbəb olan giriş qərarını yaxşılaşdırmadan qanuni işi kəsir.

Qəbul testi konkretdir: təsdiqlənmiş son nöqtə rolunun tələb etdiyi çıxışı yenə alır, təsdiqlənməmiş cihaz isə ekvivalent yol əldə edə bilmir. Monitorinq bu sərhədi dəstəkləyir və heç kimin şifrələməsini pozmadan da səyə dəyər.