Router VPN anawdurdodedig: rheolaeth derbyn cyn dadgryptio

Mae router dieithr sy’n ymddangos ar borth switsh mewnol ac yn agor VPN allan ar unwaith eisoes wedi pasio’r rheolaeth bwysicaf. Derbyn sy’n penderfynu a gaiff y ddyfais fynediad rhwydwaith defnyddiadwy o gwbl, tra mai dim ond dweud beth wnaeth hi wedyn y mae dadgryptio. Mae cael y drefn honno’n iawn yn troi problem archwilio amhosibl yn gwestiwn polisi porth cyffredin. Dyma hefyd y gwahaniaeth rhwng gweithred y gellir ei dadwneud a thoriad gwasanaeth.

Penderfynir derbyniad wrth y porth

Gofynnwch sut y cafodd y ddyfais gysylltedd defnyddiadwy cyn gofyn beth mae ei thwnel yn ei gludo. Cafodd router sydd wedi’i blygu i borth wal byw, neu gleient di-wifr sydd wedi ymuno â SSID agored, ei dderbyn gan ba bolisi bynnag y mae’r porth neu’r SSID hwnnw’n ei gymhwyso. Os mai’r polisi hwnnw yw "mae popeth sy’n cael ei blygu i mewn yn cael VLAN sy’n gweithio", symptom yw’r VPN, nid y gwendid.

Nid yw les DHCP yn gofnod awdurdodi. Mae cael cyfeiriad, neu fethu â chael un, yn disgrifio’r gwasanaeth neilltuo cyfeiriadau, nid cyflwr y porth, ac mae llawer o gynlluniau’n gadael i ddyfais heb ei dilysu gyrraedd gwasanaeth cynorthwyol tra’n gwrthod popeth arall. Triniwch y tabl les fel tystiolaeth am gyfeiriadu, nid am ymddiriedaeth.

Mae tri math o dystiolaeth yn cael eu cymysgu yn yr ymchwiliadau hyn: person a gymeradwywyd, dyfais reoledig a gymeradwywyd, a chofnod ar daflen restr. Dylai polisi’r porth fod yn glir ynghylch pa rai o’r rhain y mae’n eu derbyn, oherwydd bod manylion cyfrif wedi’u dwyn a chyfeiriad MAC wedi’i glonio yn bodloni rhai gwahanol.

Beth mae porth dilysiedig yn ei benderfynu mewn gwirionedd

Gydag IEEE 802.1X, y switsh neu’r pwynt mynediad yw’r dilysydd, ac mae’n anfon manylion y ceisydd ymlaen i wasanaeth canolog fel cleient RADIUS. Priodweddau RADIUS 802.1X sy’n gadael i’r canlyniad hwnnw awdurdodi’r porth ac, yn dibynnu ar y cynllun, osod y sesiwn mewn VLAN penodol neu gyd-destun cyfrifyddu penodol. Dim ond os yw’r porth wedi’i ffurfweddu i orfodi hynny y mae’r switsh yn gorfodi beth bynnag y mae’r gweinydd polisi yn ei ddychwelyd.

Yn y cymal olaf hwnnw y mae gosodiadau’n methu’n dawel. Mae porth a adawyd yn y modd monitro neu gofnodi yn cofnodi’r penderfyniad a fyddai wedi bod ac yn dal i basio traffig, sy’n edrych fel gosodiad sy’n gweithio ym mhob adroddiad nes i rywun blygu router heb ei reoli i mewn.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Mae angen penderfyniad ar wahân ar ddyfeisiau na allant redeg ceisydd, nid esgusodfa gyffredinol. Mae osgoi dilysu MAC, porth cofrestru neu VLAN dyfeisiau pwrpasol i gyd yn atebion dilys, ond rhaid dewis pob un yn fwriadol a’i ddogfennu. Nodwch pa ddosbarthiadau o ddyfeisiau a gaiff ddefnyddio’r llwybr wrth gefn a phwy sy’n eu cymeradwyo. Llwybr wrth gefn heb ei ddogfennu yw’n union sut y mae router heb ei reoli yn cael VLAN sy’n gweithio heb gymeradwyaeth neb.

Beth allwch chi ei weld heb ddadgryptio

Mae amgryptio’n cuddio llwythi, nid ymddygiad. Mae cyfeiriadau ffynhonnell a chyrchfan, porthladdoedd, amseru pecynnau, cyfaint llif a hyd sesiwn yn parhau’n weladwy ar y ffin lle rydych chi’n eu casglu, ac mae’r metadata hwnnw’n aml yn ddigon i gysylltu dyfais anghyfarwydd â phorth a chyrchfan allan. Yr hyn na allwch ei ddarllen yw’r cymhwysiad y tu mewn i’r twnel, ac nid yw unrhyw faint o gofnodi pecynnau yn newid hynny heb allweddi.

Nid yw twnel parhaus yn unig yn faleisus. Mae cysylltiadau safle-i-safle, asiantau copi wrth gefn ac offer gweinyddu o bell yn rhedeg yn barhaus yn ôl eu cynllun, felly nid yw llif sy’n para trwy’r nos yn profi unrhyw beth ar ei ben ei hun. Cymharwch ef â’r rôl a roddwyd i’r ased hwnnw ac â’r llinell sylfaen gymeradwy ar gyfer ei segment.

Cyfyngwch y traffig allan yn fwriadol. Nid yw caniatáu porth cyrchfan yr un peth ag cymeradwyo’r cymhwysiad sy’n ei ddefnyddio, ac nid yw dyfaliad dosbarthwr yn benderfyniad awdurdodi. Casglwch y metadata rydych chi ei angen ar gyfer yr ymchwiliad, gyda pherchennog a enwyd a ffenestr cadw, yn hytrach na chofnodi holl draffig pob defnyddiwr fel rhagosodiad.

Ataliwch drwy’r ffin rydych chi’n ei rheoli

Cyn i chi ynysu unrhyw beth, cadarnhewch pwy sy’n berchen ar y ddyfais a ble mae hi wedi’i chysylltu. Yna defnyddiwch y broses ddigwyddiad i gyfyngu ar y porth neu i ddiddymu’r sesiwn, gan gadw’r cofnodion perthnasol tra bo’r dystiolaeth yn dal yn ffres. Gellir analluogi porth switsh a’i alluogi eto; ni ellir dadwneud cyswllt uwchraddio cynhyrchu sy’n gwasanaethu deugain desg mor hawdd.

Peidiwch â gwrthymosod ar y pen draw a pheidiwch ag analluogi porth a rennir oherwydd bod sgan wedi awgrymu protocol VPN. Mae’r ddau weithred yn torri ar waith dilys heb wella’r penderfyniad derbyn a adawodd i’r ddyfais i mewn yn y lle cyntaf.

Mae’r prawf derbyn yn concret: mae pen draw cymeradwy yn dal i gael y mynediad y mae ei rôl yn ei ofyn, ac ni all dyfais heb ei chymeradwyo gael llwybr cyfwerth. Mae monitro’n cefnogi’r ffin honno, ac nid oes angen iddo dorri amgryptio neb i fod yn werth yr ymdrech.