Bloki unu aparaton de la VPN sen malŝalti la tutan konton

Unu dungito, du tekkomputiloj, kaj nur unu el ili devas perdi aliron. Malŝalti la konton estas la evidenta levilo, sed ĝi punas la malĝustan amplekson, dum forigi konservitan profilon sur la finpunkto estas sugesto, ne kontrolo. La decido reduktiĝas al tri kondiĉoj: ĉu ekzistas aparata identeco, kiun la VPN povas kontroli, ĉu ĉi tiu konkreta konekto fakte taksas ĝin, kaj kion vi volas, ke okazu al la aparato anstataŭ al la persono. Respondu ilin en tiu ordo, kaj la plenumado kutime elektas sin mem.

Unua kondiĉo: ĉu ekzistas aparataj pruvoj, kiujn la VPN povas kontroli?

Fonta adreso estas kunhavigata malantaŭ la oficeja NAT kaj ŝanĝiĝas en poŝtelefonaj retoj. Gastigantnomo estas tio, kion la aparato asertas, MAC-adreso estas facile falsigebla, kaj registran valoron povas skribi io ajn kun lokaj rajtoj. Neniu el tiuj estas identeco, ĝis io kontrolas ĝin. Aparte registrita aparata akreditaĵo, kiel atestilo eldonita al tiu finpunkto, estas la sola opcio, kiu donas al revokado celon pli mallarĝan ol la uzantkonto.

La akreditaĵo validas nur se la konekto aŭtentikigas per ĝi kaj validigas la ĉenon ĉe ĉiu provo. Dosiero kuŝanta en la konservejo de la maŝino pruvas nenion.

Dua kondiĉo: ĉu ĉi tiu konekto taksas ĝin?

Atributoj de finpunkto ne estas universalaj. Sur ASA, la gvidilo ASDM DAP de Cisco apartigas uzantan AAA-informon de atributoj de finpunkta takso, kaj kiuj atributoj disponeblas dependas de la uzata fora alirprotokolo, la deplojitaj posture-iloj kaj la permesilo. Registra kontrolo bezonas la subtenatan kolektan vojon, kaj eĉ tiam ĝi raportas, kion vidis la finpunkta ilo, ne ke la maŝino estas tiu, kiun vi fidas.

Do la praktika demando estas mallarĝa: sur ĉi tiu tunelo, kun ĉi tiu kliento kaj ĉi tiu posture-agento, kiu atributo alvenas plenigita kaj fidinda? Se la respondo estas neniu, politiko skribita kontraŭ ĝi kongruos kun nenio aŭ kun ĉio, kaj ambaŭ rezultoj estas pli malbonaj ol la konta ŝloso, kiun vi evitis.

Tria kondiĉo: rifuzo, riparo aŭ pli mallarĝa aliro?

Tri rezultoj disponeblas kaj ili ne estas interŝanĝeblaj. Vi povas fini la seancon, kio tute forigas aliron; vi povas meti la aparaton en kvarantenon en staton, kie ĝi atingas nur riparajn rimedojn; aŭ vi povas lasi la seancon kaj tranĉi ĝian rimedan ACL al la malmultaj aferoj, kiujn la aparato ankoraŭ bezonas. DAP-seancaj agoj kaj rimedaj ACL-oj respondas al malsamaj demandoj, do la elekto temas pri kiom da flanka damaĝo la persono devas absorbi.

Por perdita aŭ ŝtelita tekkomputilo la respondo kutime estas finigo. Por maŝino, kiu malsukcesis posture-kontrolon, riparo estas pli afabla kaj same efika.

Decidu, kio okazas kiam la pruvoj mankas

La defaŭlta vojo pli gravas ol la regulo, kiun vi skribis por la bona kazo. Se la atendata atributo neniam alvenas ĉar la posture-agento estas difektita, politiko, kiu postulas ĝin, povas fali al defaŭlto, kiu enlasas la seancon. Legu la defaŭltan rezulton kaj intence testu la kazon sen pruvoj, ĉar ĝuste tiun staton prezentos atakanto, kiu forigas la agenton.

Pluraj kongruaj DAP-rikordoj estas agregataj, ne solvitaj per simpla unua-kongrua ordo, kaj ilia ACL-prioritato estas aparta mekanismo de rikorda elekto. Legu la priskribon de agregado en la gvidilo antaŭ ol supozi, ke la pli strikta rikordo venkas.

Prizorgu seancojn, kiuj jam ekzistas, poste testu ambaŭ aparatojn

Ŝanĝi akceptan regulon aŭ revoki akreditaĵon ne priskribas, kio okazas al seanco jam establita kaj pasiganta trafikon. Se tuja forigo estas la postulo, sekvu la subtenatan proceduron de seanca finigo kaj rejuĝado de la efektivigo anstataŭ atendi la sekvan rekonekton. Tio estas la paŝo plej ofte preterlasata dum okazaĵo, kaj ĝi estas la diferenco inter politiko kaj rezulto.

Testu kun la sama permesita uzanto sur ambaŭ maŝinoj sub aprobita kontrolo. La blokita aparato devas ricevi precize la intencitan rifuzon aŭ riparan rezulton, kaj la alia reteni nur siajn rajtigitajn rimedojn. Tio kontrolas la aparatan limon sen revoki la alian aprobitan aliron de la persono.

Se vi ne povas igi tiujn du rezultojn malsamaj, la problemo estas la pruvoj, ne la politiko, kaj neniom da regulagordado riparos ĝin.