Rhwystro un ddyfais rhag y VPN heb analluogi'r cyfrif cyfan

Un cyflogai, dwy liniadur, a dim ond un ohonynt sydd raid colli mynediad. Analluogi'r cyfrif yw'r lifer amlwg, ond mae'n cosbi'r cwmpas anghywir, tra bod dileu proffil wedi'i gadw ar y pen pellaf yn awgrym yn hytrach na rheolaeth. Daw'r penderfyniad i lawr i dair amod: a oes hunaniaeth dyfais y gall y VPN ei gwirio, a yw'r cysylltiad penodol hwn yn ei gwerthuso mewn gwirionedd, a beth rydych chi am iddo ddigwydd i'r ddyfais yn hytrach nag i'r person. Atebwch nhw yn y drefn honno, a bydd y gorfodi fel arfer yn dewis ei hun.

Yr amod gyntaf: a oes tystiolaeth dyfais y gall y VPN ei gwirio?

Mae cyfeiriad ffynhonnell yn cael ei rannu y tu ôl i NAT y swyddfa ac yn newid ar rwydweithiau symudol. Enw gwesteiwr yw'r hyn y mae'r ddyfais yn ei honni, mae cyfeiriad MAC yn cael ei ffugio'n hawdd, a gall unrhyw beth â hawliau lleol ysgrifennu gwerth cofrestr. Nid oes yr un ohonynt yn hunaniaeth nes bod rhywbeth yn ei wirio. Credens dyfais sydd wedi'i chofrestru ar wahân, fel tystysgrif a roddwyd i'r pen pellaf hwnnw, yw'r un opsiwn sy'n rhoi targed mwy cyfyng na chyfrif y defnyddiwr i ddiddymu.

Nid yw'r gredens yn cyfrif oni bai bod y cysylltiad yn dilysu â hi ac yn gwirio'r gadwyn ar bob ymgais. Nid yw ffeil sy'n gorwedd yn storfa'r peiriant yn profi dim.

Yr ail amod: a yw'r cysylltiad hwn yn ei gwerthuso?

Nid yw priodoleddau'r pen pellaf yn gyffredinol. Ar ASA, mae canllaw ASDM DAP Cisco yn gwahanu gwybodaeth AAA y defnyddiwr oddi wrth briodoleddau asesu'r pen pellaf, ac mae pa briodoleddau sydd ar gael yn dibynnu ar y protocol mynediad o bell a ddefnyddir, yr offer posture a osodwyd, a'r drwydded. Mae angen y llwybr casglu a gefnogir ar wiriad cofrestr, a hyd yn oed yna mae'n adrodd yr hyn a welodd offeryn y pen pellaf, nid bod y peiriant yn un yr ydych yn ymddiried ynddo.

Felly mae'r cwestiwn ymarferol yn gul: ar y twnnel hwn, gyda'r cleient hwn a'r asiant posture hwn, pa briodoledd sy'n cyrraedd yn llawn ac yn ddibynadwy? Os mai'r ateb yw dim, bydd polisi a ysgrifennwyd yn ei erbyn yn cyfateb i ddim neu i bopeth, ac mae'r ddau ganlyniad yn waeth na'r clo cyfrif yr oeddech yn ei osgoi.

Trydydd amod: gwrthod, adfer, neu fynediad mwy cyfyng?

Mae tri chanlyniad ar gael ac nid ydynt yn gyfnewidiol. Gallwch derfynu'r sesiwn, sy'n tynnu mynediad yn gyfan gwbl; gallwch roi'r ddyfais mewn cwarantin i gyflwr lle na all gyrraedd ond adnoddau adfer; neu gallwch adael y sesiwn ar agor a thorri ei ACL adnoddau i lawr i'r ychydig bethau sydd eu hangen ar y ddyfais honno o hyd. Mae gweithredoedd sesiwn DAP ac ACLau adnoddau yn ateb gwahanol gwestiynau, felly mae'r dewis yn ymwneud â faint o ddifrod ochr y dylai'r person ei amsugno.

Ar gyfer liniadur coll neu wedi'i ddwyn, terfynu yw'r ateb fel arfer. Ar gyfer peiriant a fethodd wiriad posture, mae adfer yn garedicach ac yr un mor effeithiol.

Penderfynwch beth sy'n digwydd pan fydd y dystiolaeth ar goll

Mae'r llwybr diofyn yn bwysicach na'r rheol a ysgrifennwyd gennych ar gyfer yr achos da. Os nad yw'r briodoledd a ddisgwylir byth yn cyrraedd oherwydd bod yr asiant posture wedi torri, gall polisi sy'n ei gwneud yn ofynnol lithro i ddiofyn sy'n derbyn y sesiwn. Darllenwch y canlyniad diofyn a phrofwch yr achos heb dystiolaeth yn fwriadol, oherwydd dyna'r cyflwr y bydd ymosodwr sy'n tynnu'r asiant yn ei gyflwyno.

Mae cofnodion DAP lluosog sy'n cyfateb yn cael eu cyfuno yn hytrach na'u datrys trwy drefn cyntaf-cyfateb syml, ac mae eu blaenoriaeth ACL yn fecanwaith ar wahân i ddewis cofnod. Darllenwch ddisgrifiad y canllaw o gyfuno cyn tybio bod y cofnod mwy llym yn ennill.

Delio â sesiynau sydd eisoes yn bodoli, yna profwch y ddwy ddyfais

Nid yw newid rheol derbyn na diddymu credens yn disgrifio beth sy'n digwydd i sesiwn sydd eisoes wedi'i sefydlu ac yn cludo traffig. Os yw tynnu ar unwaith yn ofynnol, dilynwch weithdrefn terfynu ac ailosod gwerthuso sesiwn a gefnogir gan y gweithrediad yn lle aros am yr ailgysylltiad nesaf. Dyma'r cam a hepgorir amlaf yn ystod digwyddiad, a dyma'r gwahaniaeth rhwng polisi a chanlyniad.

Profwch gyda'r un defnyddiwr a ganiateir ar y ddau beiriant o dan wiriad cymeradwy. Dylai'r ddyfais a rwystrwyd dderbyn yn union y gwrthodiad neu'r canlyniad adfer a fwriadwyd, a dylai'r llall gadw dim ond ei hadnoddau awdurdodedig. Mae hyn yn gwirio ffin y ddyfais heb ddiddymu mynediad cymeradwy arall y person.

Os na allwch wneud y ddau ganlyniad hynny'n wahanol, y dystiolaeth yw'r broblem, nid y polisi, ac ni fydd unrhyw faint o addasu rheolau yn ei thrwsio.