Οι ειδοποιήσεις σύνδεσης VPN δεν είναι ειδοποιήσεις εισβολής: παρακολουθήστε τη συνεδρία

Μια ειδοποίηση VPN που ενεργοποιείται για μια νέα χώρα φαίνεται καταληκτική, και συνήθως δεν είναι. Η ταυτοποίηση λέει ότι μια απόπειρα έγινε δεκτή· η συνεδρία λέει ποια σύνδεση τη μετέφερε· οι εγγραφές πόρων λένε τι συνέβη μέσα σε εκείνη τη σύνδεση. Καθεμία απαντά σε διαφορετικό ερώτημα. Ένας κανόνας που συγχωνεύει και τα τρία παράγει τριάντα δελτία τη Δευτέρα και χάνει την πραγματική περίπτωση την Παρασκευή.

Μια ξένη διεύθυνση είναι ερώτημα, όχι απάντηση

Τα ταξίδια, οι κινητοί πάροχοι που εξέρχονται σε άλλη χώρα, ένα εταιρικό web proxy και μια ανακατανεμημένη δεξαμενή carrier-grade NAT μετακινούν όλα τη φαινομενική πηγή χωρίς να μετακινούν τον επιτιθέμενο. Η εγγραφή σύνδεσης αντανακλά από πού μπήκε η σύνδεση στο δίκτυο, όχι ποιος κρατούσε τη συσκευή.

Η αντίστροφη αποτυχία είναι χειρότερη επειδή είναι ήσυχη. Ένας κλεμμένος κωδικός που χρησιμοποιείται από την ίδια πόλη του χρήστη παράγει σύνδεση που ταιριάζει με κάθε προηγούμενη στον έλεγχο γεωγραφίας.

Το να αντιμετωπίζεις τη γεωγραφία ως ετυμηγορία έχει μετρήσιμο κόστος. Οι φορητοί υπολογιστές που ταξιδεύουν παράγουν σταθερή ροή ελέγχων, οι ελεγκτές μαθαίνουν να τους κλείνουν χωρίς ανάγνωση, και η συνήθεια επιβιώνει μέχρι να φτάσει μια πραγματική περίπτωση στην ίδια ουρά.

Τρεις τύποι εγγραφών απαντούν σε τρία διαφορετικά ερωτήματα

Ξεκινήστε από ό,τι εκπέμπουν τα αναπτυγμένα προϊόντα, όχι από ό,τι υπονοεί ένα φυλλάδιο προϊόντος ότι θα μπορούσαν να εκπέμπουν. Η απόφαση ταυτοποίησης ονομάζει τη δηλωμένη ταυτότητα, τη μέθοδο και το αποτέλεσμα. Ο κύκλος ζωής της συνεδρίας ονομάζει τη σύνδεση, την πύλη και τη διευθετημένη διεύθυνση, από την αρχή έως τη διακοπή.

Ένα κενό κελί είναι κενό συλλογής, όχι αθώωση. Αν τα συμβάντα πόρων δεν φτάνουν ποτέ, η απουσία μιας ύποπτης ανάγνωσης σημαίνει ότι ο αγωγός δεν έχει τίποτα να αναφέρει, και ένας ήσυχος πίνακας περιγράφει τον αγωγό και όχι το δίκτυο. Γράψτε ποιες εγγραφές παράγει πραγματικά η ανάπτυξη πριν υποσχεθείτε έναν κανόνα που εξαρτάται από αυτές, και ονομάστε τον υπεύθυνο κάθε ροής που λείπει.

Οι λογιστικές λεπτομέρειες είναι το σημείο όπου οι συνεδρίες γίνονται ελέγξιμες. Η λογιστική RADIUS όπως περιγράφεται στο RFC 2866 μεταφέρει ενημερώσεις έναρξης, διακοπής και ενδιάμεσες συνδεδεμένες με αναγνωριστικό συνεδρίας, οπότε μια συνεδρία με έναρξη και χωρίς διακοπή είναι ένα κενό που μπορείτε να ονομάσετε αντί για μυστήριο.

Συνδέστε με τη συνεδρία, όχι με το όνομα χρήστη

Ένας λογαριασμός κρατά νόμιμα πολλές συνεδρίες ταυτόχρονα: ένα φορητό, ένα τηλέφωνο, ένα μηχάνημα εργαστηρίου που έμεινε συνδεδεμένο όλη τη νύχτα. Η ένωση κάθε συμβάντος για αυτό το όνομα χρήστη συνενώνει τρεις συσκευές σε μια ιστορία και μετά διαβάζει τον συνδυασμό ως παραβίαση. Οι διευθετημένες διευθύνσεις ανακυκλώνονται επίσης, οπότε μια ένωση που συνεχίζει να ταιριάζει μια διεύθυνση μετά το τέλος της συνεδρίας σέρνει τη συσκευή του περασμένου μήνα στο σημερινό περιστατικό. Κρατήστε το κλειδί συνεδρίας δίπλα στη διεύθυνση και περιορίστε την αντιστοίχιση στο χρονικό παράθυρο που κάλυψε πραγματικά η συνεδρία.

Όπου η μετάφραση αφαιρεί την αρχική πηγή πριν τη δει μια υπηρεσία, χρησιμοποιήστε την ταυτότητα που επιβιώνει σε αυτό το όριο, όπως ένα υποκείμενο αμοιβαίου TLS ή έναν ισχυρισμό ενιαίας σύνδεσης. Το να επινοήσετε αντιστοίχιση ένα προς ένα μεταξύ διεύθυνσης και προσώπου είναι το ίδιο λάθος με επιπλέον βήματα.

Μια ειδοποίηση χωρίς υπεύθυνο είναι πίνακας

Κάθε κανόνας χρειάζεται συνθήκη, τις αβλαβείς εξηγήσεις που τον παράγουν, τα στοιχεία που πρέπει να συλλεχθούν και το πρόσωπο που ενεργεί. Μια επαναλαμβανόμενη απορριφθείσα διαχειριστική πράξη, μια έκρηξη αποτυχημένων κωδικών και ένας σιωπηλός συλλέκτης είναι τρία διαφορετικά περιστατικά με τρία διαφορετικά ρολόγια.

Η ειδοποίηση δεν είναι περιορισμός, και μια λίστα διανομής δεν περιορίζει τίποτα. Η αλλαγή μιας ζωντανής συνεδρίας απαιτεί το στοιχείο που μπορεί να το κάνει, είτε είναι η πύλη που ρίχνει τη σύνδεση είτε ο πάροχος ταυτότητας που ανακαλεί τη συνεδρία. Οι παρωχημένες ροές και οι εγγραφές διακοπής που λείπουν ανήκουν επίσης στο κείμενο του κανόνα, γιατί ένας συλλέκτης που δεν έστειλε τίποτα για μια μέρα μοιάζει ακριβώς με ένα ήσυχο δίκτυο από τον πίνακα. Η διαφορά φαίνεται μόνο στον ίδιο τον αγωγό.

Ελέγξτε τη διαδρομή συλλογής πριν εμπιστευτείτε μια ήσυχη εβδομάδα

Αποδείξτε τον αγωγό από άκρη σε άκρη πριν ρυθμίσετε έναν κανόνα. Οι εντολές παρακάτω επιβεβαιώνουν ότι οι ακροατές ταυτοποίησης και λογιστικής είναι ενεργοί, ότι ένα διαπιστευτήριο δοκιμής απορρίπτεται για τον σωστό λόγο και ότι τα συμβάντα συνεδρίας εξακολουθούν να φτάνουν:

ss -uanp | grep -E ':(1812|1813)\b'
radtest alice 'not-the-password' 127.0.0.1 0 testing123
journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated'
timedatectl | grep -E 'System clock|synchronized'

Μια απόρριψη πρόσβασης από τη δοκιμή αποδεικνύει ότι το αίτημα έφτασε στον διακομιστή και ότι το κοινό μυστικό ταίριαξε, και αυτό είναι το μέρος που οι άνθρωποι παραλείπουν. Ένα χρονικό όριο αντίθετα δείχνει το μυστικό, τον ακροατή ή ένα φίλτρο μπροστά του, και κάθε ειδοποίηση παρακάτω είναι μη επαληθεύσιμη μέχρι να διορθωθεί αυτό.

Η κατάσταση του ρολογιού έχει σημασία επειδή τα παράθυρα συσχέτισης προϋποθέτουν συμφωνία. Μια πύλη που αποκλίνει λεπτά κάνει μια κατά τα άλλα καθαρή ένωση συνεδρίας να φαίνεται αδύνατη, και οι ελεγκτές αντισταθμίζουν διευρύνοντας το παράθυρο μέχρι η ένωση να πάψει να διακρίνει. Ελέγξτε την απόκλιση πριν επεξεργαστείτε τον κανόνα.

Στη συνέχεια δοκιμάστε έναν κανόνα σε μια αβλαβή δοκιμή: δημιουργήστε μια σύνδεση από μια απρόσμενη διεύθυνση, επιβεβαιώστε ότι η ειδοποίηση ενεργοποιείται, επιβεβαιώστε ότι ο ανταποκρινόμενος μπορεί να αντλήσει τη συνεδρία και τα συμβάντα πόρων της, και επιβεβαιώστε ότι το δελτίο φέρει το αναγνωριστικό συνεδρίας. Ένας κανόνας που παράγει μια συνεκτική ιστορία περνά. Ένας κανόνας που παράγει ένα σωρό γραμμές αρχείου καταγραφής είναι ακόμα πίνακας. Καταγράψτε το αποτέλεσμα δίπλα στον κανόνα ώστε ο επόμενος έλεγχος να ξεκινά από στοιχεία και όχι από διαίσθηση.