Router VPN no autoritzat: control d’admissió abans del desxifratge

Un router desconegut que apareix en un port de commutador intern i obre immediatament una VPN de sortida ja ha passat el control que més importa. L’admissió decideix si el dispositiu obté accés de xarxa utilitzable, mentre que el desxifratge només us diu què va fer després. Encertar aquest ordre converteix un problema d’inspecció impossible en una qüestió rutinària de política de ports. També és la diferència entre una acció reversible i una caiguda del servei.

L’admissió es decideix al port

Pregunteu com va obtenir el dispositiu connectivitat utilitzable abans de preguntar què transporta el seu túnel. Un router connectat a un port de paret actiu, o un client sense fil que s’ha unit a un SSID obert, va ser admès per la política que apliqui aquell port o aquell SSID. Si aquesta política és «tot el que es connecta obté una VLAN funcional», la VPN és un símptoma i no la vulnerabilitat.

Una concessió DHCP no és un registre d’autorització. Rebre una adreça, o no rebre-la, descriu el servei d’assignació d’adreces, no l’estat del port, i molts dissenys permeten que un dispositiu no autenticat arribi a un assistent mentre deneguen tota la resta. Tracteu la taula de concessions com a evidència sobre adreçament, no sobre confiança.

En aquestes investigacions es confonen tres tipus d’evidència: una persona aprovada, un dispositiu gestionat aprovat i una entrada en un full d’inventari. La política del port hauria de ser explícita sobre quins accepta, perquè una credencial robada i una adreça MAC clonada en satisfan de diferents.

Què decideix realment un port autenticat

Amb IEEE 802.1X, el commutador o el punt d’accés és l’autenticador i reenvia les credencials del suplicant a un servei central com a client RADIUS. Els atributs RADIUS 802.1X permeten que aquest resultat autoritzi el port i, segons el disseny, situen la sessió en una VLAN o un context de comptabilitat concrets. El commutador aplica el que retorna el servidor de polítiques només si el port està configurat per aplicar-ho.

És en aquesta darrera clàusula on les implantacions fallen en silenci. Un port deixat en mode de monitoratge o registre anota la decisió que correspondria i continua passant trànsit, cosa que en tots els informes sembla una implantació funcionant fins que algú connecta un router no gestionat.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Els dispositius que no poden executar un suplicant necessiten una decisió a part, no una excepció general. L’elusió de l’autenticació MAC, un portal de registre o una VLAN dedicada a dispositius són respostes legítimes, però cadascuna s’ha de triar deliberadament i documentar. Anoteu quines classes de dispositius poden usar el recurs alternatiu i qui les aprova. Un recurs alternatiu no documentat és exactament com un router no gestionat acaba amb una VLAN funcional i sense l’aprovació de ningú.

Què podeu veure sense desxifrar

El xifratge amaga les càrregues útils, no el comportament. Les adreces d’origen i destinació, els ports, el temps dels paquets, el volum del flux i la durada de la sessió romanen visibles a la frontera on els recolliu, i aquestes metadades sovint n’hi ha prou per lligar un dispositiu desconegut a un port i a una destinació de sortida. El que no podeu llegir és l’aplicació dins del túnel, i cap captura de paquets ho canvia sense claus.

Un túnel persistent no és automàticament maliciós. Els enllaços entre seus, els agents de còpia de seguretat i les eines d’administració remota funcionen de manera contínua per disseny, així que un flux que dura tota la nit no demostra res per si sol. Compareu-lo amb el paper assignat a aquest actiu i amb la línia de base aprovada per al seu segment.

Limiteu la sortida a propòsit. Permetre un port de destinació no és el mateix que aprovar l’aplicació que l’utilitza, i l’estimació d’un classificador no és una decisió d’autorització. Recolliu les metadades que necessiteu per a la investigació, amb un propietari nomenat i una finestra de retenció, en lloc de fer per defecte una captura completa del trànsit de cada usuari.

Contingueu a través de la frontera que controleu

Abans d’aïllar res, confirmeu qui és el propietari del dispositiu i on està connectat. Després feu servir el procés d’incidents per restringir el port o revocar la sessió, preservant els registres rellevants mentre les proves encara són fresques. Un port de commutador es pot desactivar i tornar a activar; un enllaç ascendent de producció que serveix quaranta taules no es pot desfer tan fàcilment.

No contraataqueu el punt final ni desactiveu un port compartit perquè un escaneig ha suggerit un protocol VPN. Totes dues accions interrompen feina legítima sense millorar la decisió d’admissió que va deixar entrar el dispositiu.

La prova d’acceptació és concreta: un punt final aprovat encara obté l’accés que el seu paper requereix, i un dispositiu no aprovat no pot obtenir un camí equivalent. El monitoratge dona suport a aquesta frontera i no cal que trenqui el xifratge de ningú per valer la pena.