Nid yw gwiriad statws dyfais VPN yn blocio? Dilynwch yr adroddiad yn gyntaf
Mae asiant eich pwynt terfyn yn adrodd bod popeth yn iach, ond mae’r ap mewnol yn dal i agor. Cerddwch drwy’r casglwr, y dyfarniad a’r bloc, yna profwch y gwrthodiad ag un cais.
Os gall gliniadur y stoppiodd ei lofnodion gwrthfirysau ddiweddaru wythnosau yn ôl agor eich ap mewnol o hyd, anaml y dogfenn polisi sydd ar fai. Rhaid i dri system ar wahân gytuno cyn i fynediad gael ei wrthod: mae un yn mesur y pwynt terfyn, mae un arall yn troi’r mesuriad hwnnw’n ddyfarniad caniatáu neu wrthod, ac mae trydydd yn gollwng y traffig mewn gwirionedd. Pan fydd dyfais anghydnaws yn llwyddo i mewn serch hynny, mae un o’r dolenni hynny ar goll neu’n ymddiried mewn tystiolaeth na ddylai. Mae’r gwiriadau isod yn mynd yn y drefn honno, ac mae gan bob un ohonynt bwynt stopio.
Y bloc yw’r cam olaf, nid y cyntaf
Mae dilysu a statws dyfais yn ateb cwestiynau gwahanol. Mae mewngofnodi llwyddiannus yn profi bod crafflyfr wedi’i gyflwyno; nid yw’n dweud dim am y meddalwedd sy’n rhedeg ar y peiriant a’i cyflwynodd. Y bwlch hwnnw yw’r rheswm y gall proffil cleient copïedig gludo sesiwn sy’n edrych yn iach i westeiwr afiach.
Mae gan waith cydymffurfio pwyntiau terfyn eirfa ar gyfer y gadwyn hon eisoes. Mae’r model cyfeirio NEA yn RFC 5209 yn rhannu’r gwaith yn gasglwr, yn gam asesu ac yn bwynt gorfodi, ac yn dweud yn blaen fod cleient sy’n dweud celwydd am ei gyflwr ei hun y tu allan i’r model. Mae’r cafeat hwnnw’n bwysicach na’r diagram: nid yw modiwl platfform dibynadwy yn troi mesuriad a adroddwyd gan y ddyfais ei hun yn ffaith.
Cadwch y casglwr yn onest ynglŷn â’r cwmpas. Dylai adrodd ar y priodoleddau y mae eich polisi yn eu henwi, ar y ddyfais sy’n gofyn am fynediad, a phrin ddim arall. Mae asiant rhestr sy’n rhestru pob pecyn sydd wedi’i osod yn wahanol offeryn i gasglwr statws dyfais, ac mae’r gwahaniaeth yn broblem cadw ac yn broblem cywirdeb ill dau. Os na ellir cysylltu’r adroddiad ag un hunaniaeth ddyfais, mae’r aseswr yn dyfalu pa beiriant y mae newydd ei glirio.
Nid yw dangosfwrdd sy’n dangos statws coch yn rheolaeth. Gofynnwch beth all defnyddiwr a wrthodwyd ei gyrraedd o hyd: y wici, y gyfraniad ffeiliau, porth cronfa ddata? Mae angen un arwyneb cul ar gyfer atgyweirio, ac mae popeth arall y tu ôl i’r bloc.
Darllenwch yr adroddiad cyn darllen y rheol
Dechreuwch wrth y ffynhonnell yn hytrach na thic gwyrdd y cleient. Ar Windows daw’r mesuriad lleol gan Defender neu gan ba bynnag gynnyrch a gofrestrodd ei hun gyda’r Security Center, ac mae’r ddau yn darllenadwy heb consol gwerthwr:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateMae’r ail orchymyn yn dychwelyd cyfanrif o’r enw productState. Mae ei fotiau wedi’u dogfennu’n llac ac mae gwerthwyr yn pacio’r baneri galluogi a chyfredol yn wahanol, felly cadarnhewch ef yn hytrach na’i ddadansoddi. Mae pecynnau trydydd parti hefyd yn gadael y cofnod Security Center ar ôl dadosod, ac mae hwnnw’n adrodd ar feddalwedd nad yw ar y disg mwyach.
Oedran yw’r maes y mae pobl yn ei hepgor. Nid yw stamp amser llofnod yn golygu dim ond yn erbyn cloc y peiriant sy’n gwneud yr asesiad, felly trowch ef yn gyfnod yn hytrach na’i amcangyfrif â llygad:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursNawr mae gan y polisi un rhif i’w ddarllen. Os yw eich rheol yn dweud 72 awr, dyma’r rhif y mae’n ei ddefnyddio, ac mae gliniadur sy’n cysgu am wythnos yn methu heb i unrhyw un ddehongli label. Cofnodwch y trothwy wrth ymyl y gorchymyn, oherwydd mae’r ddau yn symud ar wahân pan fydd offeryn y pwynt terfyn yn cael ei ddisodli.
Trowch bob statws dyfais yn ddyfarniad ysgrifenedig
Mae’r rhan fwyaf o anghydfodau am statws dyfais mewn gwirionedd yn anghydfodau am y rhes anhysbys. Penderfynwch hyn cyn y digwyddiad cyntaf, mewn tabl sy’n enwi’r dystiolaeth, y dyfarniad a’r perchennog, fel na fydd neb yn byrfyfyrio wrth gonsol y giât.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Y rhes waelod yw lle mae cynhyrchion yn wahanol. Mae rhai giatiau yn gwrthod y cysylltiad ac yn egluro pam; mae eraill yn gadael i’r twnnel godi ac yn defnyddio polisi cyfyngedig; mae ychydig yn disgyn yn ôl i’r adroddiad da olaf y gwyddys amdano. Dim ond y ddau gyntaf sy’n amddiffynadwy, ac mae’n werth profi pa un y mae eich un chi yn ei wneud.
Cadwch hunaniaeth a chaniatâd yn eu lonydd eu hunain hefyd. Mae gliniadur sy’n pasio pob prawf statws yn dal i fod angen awdurdodiad dynol priodol ar gyfer yr ap, ac mae tystysgrif dyfais yn profi meddiant allwedd yn hytrach na chyflwr y gwasanaeth ffeiliau. Mae colapsio’r tri yn un boolean yn ffordd y mae cyfrif desg gymorth yn cael mynediad parhaol i gynhyrchu.
Profwch y llwybr gorfodi â chais, nid â dangosfwrdd
Mae gorfodi’n briodwedd cais, felly mesurwch ef ag un. Rhowch beiriant anghydnaws ar y twnnel a gwnewch yr alwad y byddai defnyddiwr go iawn yn ei wneud:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthMae 200 o ddyfais y dylid ei blocio yn golygu na chyrhaeddodd y penderfyniad lwybr y data erioed. Dau achos cyffredin: mae’r polisi wedi’i atodi i grŵp na wnaeth y cyfrif prawf ymuno ag ef, neu mae’r ap yn gyrraeddadwy dros lwybr nad yw’r VPN yn berchen arno.
Profwch y rhagdybiaeth lwybr yn gyntaf. Os yw’r enw mewnol yn datrys i gyfeiriad y mae’r cleient eisoes yn ei gyrraedd dros y LAN lleol, mae’r twnnel yn amherthnasol ac ni fydd unrhyw bolisi yn berthnasol. Cymharwch y cyfeiriad hwnnw â’r llwybr y mae’r giât yn ei wthio. Ar OpenVPN, mae polisi pob cleient yn byw mewn ffeiliau wedi’u hallweddu gan yr enw cyffredin, felly mae’n hawdd ei archwilio:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17Mae ffeil sy’n cynnwys disable yn datgysylltu’r cleient hwnnw’n llwyr, tra bo llinell push "route ..." yn culhau’r hyn y gall ei gyrraedd. Mae’r ddau yn orfodi, ac mae’r ddau yn weladwy i bwy bynnag sy’n dadfygio’r adroddiad.
Profwch y pedwar achos ar un cyfrif prawf
Mae’r gwiriad olaf yn fatrics fach, nid yn llwybr hapus. Gyrrwch un cyfrif prawf drwy bedwar cyflwr: cyfredol, llofnod wedi dod i ben, amddiffyniad wedi’i analluogi, asiant heb ei osod. Ar gyfer pob un, cofnodwch y dyfarniad yn nogfen yr asesiad, y statws HTTP y mae’r ap yn ei ddychwelyd, ac a lwythodd y dudalen atgyweirio.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Mae dau fanylyn yn hawdd eu colli. Yn gyntaf ailchwaraead: ni ddylid derbyn adroddiad a gasglwyd pan oedd y peiriant yn iach ar gyfer sesiwn ddiweddarach ar yr un ddyfais, felly chwiliwch am stamp amser wedi’i rwymo i’r cysylltiad cyfredol. Yna tynnu: dylai dadosod yr asiant gynhyrchu’r un gwrthodiad ag adroddiad hen, nid pasio glân, a dyna’r achos nad yw’n cael ei brofi fwyaf aml.
Pan fydd y matrics yn cyfateb i’r tabl, trosglwyddwch dri eitem i bwy bynnag sy’n rhedeg y giât nesaf: y gorchmynion, y trothwy, a’r pedwar canlyniad disgwyliedig. Y drosglwyddiad honno yw’r gwir ddarpariaeth, oherwydd mae dyluniad statws sy’n byw mewn dogfenn polisi yn unig yn llithro’r tro cyntaf y bydd offeryn y pwynt terfyn yn newid ei faes adrodd.