VPN giriş xəbərdarlıqları müdaxilə xəbərdarlıqları deyil: sessiyanı izləyin
Qeyri-adi giriş yoxlama üçün siqnaldır, hökm deyil. Autentifikasiya qeydini sessiyaya, sonra sessiyanın nələrə toxunduğuna bağlayın; yalnız ondan sonra buna müdaxilə deyin.
Yeni ölkədən gələn VPN xəbərdarlığı qəti görünür və adətən qəti deyil. Autentifikasiya cəhdin qəbul edildiyini deyir; sessiya bu cəhdi hansı bağlantının daşıdığını deyir; resurs qeydləri həmin bağlantının içində nə baş verdiyini deyir. Hər biri başqa suala cavab verir. Üçünü birləşdirən qayda bazar ertəsi otuz bilet yaradır və cümə günü əsl hadisəni qaçırır.
Xarici ünvan sualdır, cavab deyil
Səyahət, başqa ölkədən çıxış edən mobil operatorlar, korporativ veb-proksi və yenidən təyin edilmiş carrier-grade NAT hovuzu hamısı görünən mənbəyi dəyişir, hücumçunu dəyişmir. Giriş qeydi bağlantının şəbəkəyə haradan daxil olduğunu əks etdirir, cihazı kimin tutduğunu yox.
Əks uğursuzluq daha pisdir, çünki səssizdir. İstifadəçinin öz şəhərindən istifadə edilən oğurlanmış parol, əvvəlki bütün girişlərlə coğrafiya yoxlamasında uyğun gələn giriş yaradır.
Coğrafiyanı hökm kimi qəbul etməyin ölçülə bilən qiyməti var. Səyyar noutbuklar davamlı yoxlama axını yaradır, yoxlayanlar onları oxumadan bağlamağı öyrənir və bu vərdiş əsl hadisə eyni növbəyə düşənə qədər davam edir.
Üç qeyd növü üç fərqli suala cavab verir
Yerləşdirilmiş məhsulların nə çıxardığından başlayın, məhsul broşürünün nə çıxara biləcəyini söyləməsindən yox. Autentifikasiya qərarı iddia edilən kimliyi, metodu və nəticəni adlandırır. Sessiya həyat dövrü bağlantını, şlüzü və təyin edilmiş ünvanı başlanğıcdan dayanmaya qədər adlandırır.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Boş xana toplama boşluğudur, bəraət deyil. Resurs hadisələri heç vaxt gəlmirsə, şübhəli oxumanın olmaması boru kəmərinin bildirəcək heç nəyi olmadığını bildirir və sakit panel şəbəkəni deyil, boru kəmərini təsvir edir. Onlardan asılı qayda vəd etməzdən əvvəl yerləşdirmənin hansı qeydləri həqiqətən istehsal etdiyini yazın və hər çatışmayan axının sahibini adlandırın.
Uçot detalları sessiyaların yoxlanıla bilən olduğu yerdir. RFC 2866 standartında təsvir edilən RADIUS uçotu sessiya identifikatoruna bağlanmış başlama, dayanma və aralıq yeniləmələri daşıyır, buna görə başlanğıcı olub dayanması olmayan sessiya sirr deyil, ad verə biləcəyiniz boşluqdur.
İstifadəçi adına deyil, sessiyaya qoşulun
Bir hesab qanuni olaraq eyni anda bir neçə sessiya saxlayır: noutbuk, telefon, gecə boyu qoşulmuş qalmış laboratoriya maşını. Həmin istifadəçi adı üçün hər hadisəni birləşdirmək üç cihazı bir hekayəyə qatır və sonra birləşməni kompromis kimi oxuyur. Təyin edilmiş ünvanlar da təkrar istifadə olunur, buna görə sessiya bitdikdən sonra ünvanı uyğunlaşdırmağa davam edən birləşmə keçən ayın cihazını bugünkü insidentə sürükləyir. Sessiya açarını ünvanın yanında saxlayın və uyğunluğu sessiyanın həqiqətən əhatə etdiyi zaman pəncərəsi ilə məhdudlaşdırın.
Tərcümə xidmət görməzdən əvvəl orijinal mənbəni çıxardıqda, həmin sərhəddə qalan kimlikdən istifadə edin, məsələn qarşılıqlı TLS subyekti və ya vahid giriş təsdiqi. Ünvanla şəxs arasında birə-bir uyğunluq uydurmaq əlavə addımlarla eyni səhvdir.
Sahibsiz bildiriş paneldir
Hər qaydaya şərt, onu yaradan zərərsiz izahlar, çıxarılacaq sübutlar və hərəkət edən şəxs lazımdır. Təkrar rədd edilmiş inzibati əməliyyat, uğursuz parol partlayışı və səssiz toplayıcı üç fərqli saatı olan üç fərqli hadisədir.
Bildiriş qarşısının alınması deyil, paylama siyahısı heç nəyi məhdudlaşdırmır. Canlı sessiyanı dəyişmək bunu edə bilən komponenti tələb edir, istər bağlantını düşürən şlüz, istərsə sessiyanı ləğv edən kimlik provayderi olsun. Köhnəlmiş axınlar və çatışmayan dayanma qeydləri də qayda mətninə aiddir, çünki bir gün ərzində heç nə göndərməyən toplayıcı paneldən tam sakit şəbəkə kimi görünür. Fərq yalnız boru kəmərinin özündə görünür.
Sakit həftəyə güvənməzdən əvvəl toplama yolunu yoxlayın
Tək bir qaydayı tənzimləməzdən əvvəl boru kəmərini başdan sona sübut edin. Aşağıdakı əmrlər autentifikasiya və uçot dinləyicilərinin işlədiyini, sınaq etimadnaməsinin düzgün səbəbdən rədd edildiyini və sessiya hadisələrinin hələ də gəldiyini təsdiqləyir:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Sınaqdan alınan Access-Reject sorğunun serverə çatdığını və ortaq sirrin uyğunlaşdığını sübut edir, insanların atladığı hissə budur. Əvəzində timeout sirrə, dinləyiciyə və ya onun qarşısındakı filtrə işarə edir və bu düzəldilənə qədər aşağıdakı hər bildiriş yoxlanıla bilməz.
Saat vəziyyəti vacibdir, çünki korrelyasiya pəncərələri razılığı fərz edir. Bir neçə dəqiqə səhv olan şlüz təmiz sessiya birləşməsini qeyri-mümkün göstərir və yoxlayanlar pəncərəni genişləndirərək kompensasiya edir, nə qədər ki birləşmə fərqləndirməyi dayandırır. Qaydanı redaktə etməzdən əvvəl fərqi yoxlayın.
Sonra bir qaydanı zərərsiz sınaq altında işə salın: gözlənilməz ünvandan giriş yaradın, bildirişin işə düşdüyünü təsdiqləyin, cavabdehin sessiyanı və onun resurs hadisələrini çıxara bildiyini təsdiqləyin və biletin sessiya identifikatorunu daşıdığını təsdiqləyin. Ardıcıl hekayə yaradan qayda keçir. Bir yığın log sətri yaradan qayda hələ də paneldir. Nəticəni qaydaya qeyd edin ki, növbəti yoxlama intuisiyadan deyil, sübutdan başlasın.