Neaŭtorizita VPN-vojilo: admita kontrolo antaŭ malĉifrado

Nekonata vojilo, kiu aperas sur interna ŝaltila pordo kaj tuj malfermas eliran VPN, jam trapasis la plej gravan kontrolon. Admito decidas, ĉu la aparato entute ricevas uzeblan retan aliron, dum malĉifrado nur diras, kion ĝi faris poste. Ĝusta ordo igas neeblan inspektan problemon rutina demando pri pordpolitiko. Ĝi ankaŭ estas la diferenco inter inversigebla ago kaj halto de servo.

Admito decidiĝas ĉe la pordo

Demandu, kiel la aparato akiris uzeblan konektecon, antaŭ ol demandi, kion portas ĝia tunelo. Vojilo konektita al aktiva murpordo, aŭ sendrata kliento, kiu aliĝis al malferma SSID, estis admitita per la politiko, kiun tiu pordo aŭ SSID aplikas. Se tiu politiko tekstas "ĉio, kio enŝoviĝas, ricevas funkcian VLAN", la VPN estas simptomo, ne la vundebleco.

DHCP-luo ne estas rajtiga registro. Ricevi adreson aŭ ne ricevi ĝin priskribas la adres-donan servon, ne la staton de la pordo, kaj multaj dezajnoj lasas neaŭtentikigitan aparaton atingi helpan servon dum ili rifuzas ĉion alian. Traktu la luotabelon kiel pruvon pri adresado, ne pri fido.

En tiuj ĉi esploroj miksiĝas tri specoj de pruvoj: aprobita persono, aprobita administrata aparato kaj enskribo sur inventara folio. La pordpolitiko devus klare diri, kiujn el tiuj ĝi akceptas, ĉar ŝtelita legitimilo kaj klonita MAC-adreso plenumas malsamajn.

Kion fakte decidas aŭtentikigita pordo

Ĉe IEEE 802.1X la ŝaltilo aŭ alirpunkto estas la aŭtentikiganto, kaj ĝi plusendas la legitimilojn de la petanto al centra servo kiel RADIUS-kliento. La RADIUS-802.1X-atributoj permesas al tiu rezulto rajtigi la pordon kaj, depende de la dezajno, meti la seancon en apartan VLAN aŭ en apartan kontadan kuntekston. La ŝaltilo nur plenumas tion, kion la politika servilo redonas, se la pordo estas agordita por plenumi ĝin.

Ĝuste ĉe tiu lasta klaŭzo malsukcesas disvastigoj senbrue. Pordo lasita en monitora aŭ protokola reĝimo registras la supozatan decidon kaj tamen trapasas trafikon, kio en ĉiu raporto aspektas kiel funkcianta disvastigo, ĝis iu enŝovas neadministratan vojilon.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Aparatoj, kiuj ne povas ruli petanton, bezonas apartan decidon, ne ĝeneralan escepton. Ĉirkaŭiro de MAC-aŭtentikigo, registra portalo aŭ dediĉita aparata VLAN estas ĉiuj legitimaj respondoj, sed ĉiu devas esti elektita konscie kaj dokumentita. Skribu, kiuj aparataj klasoj rajtas uzi la rezervan vojon kaj kiu aprobas ilin. Nedokumentita rezerva vojo estas ĝuste tio, per kio neadministrata vojilo akiras funkcian VLAN sen aprobo de iu ajn.

Kion vi povas vidi sen malĉifrado

Ĉifrado kaŝas utilŝarĝojn, ne konduton. Fontaj kaj celaj adresoj, pordoj, paketa tempigo, flua volumeno kaj daŭro de seanco restas videblaj ĉe la limo, kie vi kolektas ilin, kaj tiuj metadatumoj ofte sufiĉas por ligi nekonatan aparaton al pordo kaj al elira celo. Kion vi ne povas legi, estas la aplikaĵo ene de la tunelo, kaj neniu paketa kaptado tion ŝanĝas sen ŝlosiloj.

Daŭra tunelo ne estas aŭtomate malica. Ligoj inter retejoj, sekurkopiaj agentoj kaj rimedoj por fora administrado funkcias senĉese laŭ dezajno, do fluo, kiu daŭras la tutan nokton, mem pri nenio pruvas. Komparu ĝin kun la rolo atribuita al tiu aktivaĵo kaj kun la aprobita bazlinio por ĝia segmento.

Limigu la eliron intence. Permesi celan pordon ne samas kiel aprobi la aplikaĵon, kiu ĝin uzas, kaj konjekto de klasifikilo ne estas rajtiga decido. Kolektu la metadatumojn, kiujn vi bezonas por la esploro, kun nomita posedanto kaj retenperiodo, anstataŭ defaŭlte kapti la tutan trafikon de ĉiu uzanto.

Tenigu per la limo, kiun vi regas

Antaŭ ol izoli ion ajn, konfirmu, kiu posedas la aparaton kaj kie ĝi estas konektita. Poste uzu la incidentan procezon por limigi la pordon aŭ revoki la seancon, konservante la koncernajn protokolojn dum la pruvoj ankoraŭ freŝas. Ŝaltila pordo povas esti malŝaltita kaj reŝaltita; produktada suprena ligo, kiu servas kvardek skribotablojn, ne estas same facile malfarebla.

Ne kontraŭataku la finpunkton kaj ne malŝaltu komunan pordon nur ĉar skano sugestis VPN-protokolon. Ambaŭ agoj interrompas legitiman laboron sen plibonigi la admitan decidon, kiu entute lasis la aparaton eniri.

La akcepta testo estas konkreta: aprobita finpunkto ankoraŭ ricevas la aliron, kiun ĝia rolo postulas, kaj neaprobita aparato ne povas akiri ekvivalentan vojon. Monitorado subtenas tiun limon, kaj ĝi ne bezonas rompi ies ĉifradon por valori la penon.