Avertoj pri VPN-ensaluto ne estas avertoj pri enrompo: observu la seancon
Nekutima ensaluto estas kialo por revizio, ne verdikto. Ligu la aŭtentikigan rikordon al seanco, poste al tio, kion ĝi tuŝis, antaŭ ol nomi ĝin enrompo.
Averto pri VPN, kiu ekas pro nova lando, ŝajnas fina, kaj kutime ĝi ne estas. La aŭtentikigo diras, ke provo estis akceptita; la seanco diras, kiu konekto ĝin portis; la rikordoj pri rimedoj diras, kio okazis ene de tiu konekto. Ĉiu respondas al malsama demando. Regulo, kiu kunfandas ĉiujn tri, produktas tridek biletojn lunde kaj maltrafas la veran kazon vendrede.
Fremda adreso estas demando, ne respondo
Vojaĝoj, poŝtelefonaj operatoroj, kiuj eliras en alia lando, kompania retprokurilo kaj reasignita naĝejo de carrier-grade NAT ĉiuj movas la ŝajnan fonton sen movi la atakanton. La ensaluta rikordo spegulas, kie la konekto eniris la reton, ne kiu tenis la aparaton.
La inversa malsukceso estas pli malbona, ĉar ĝi estas silenta. Ŝtelita pasvorto uzata el la propra urbo de la uzanto produktas ensaluton, kiu kongruas kun ĉiu antaŭa ensaluto en la geografia kontrolo.
Trakti geografion kiel la verdikton havas mezureblan koston. Vojaĝantaj tekkomputiloj produktas konstantan fluon de revizioj, reviziantoj lernas fermi ilin sen legi, kaj la kutimo pluvivas ĝis vera kazo alvenas en la sama vico.
Tri specoj de rikordoj respondas al tri malsamaj demandoj
Komencu de tio, kion la deplojitaj produktoj efektive elsendas, ne de tio, kion produkta broŝuro sugestas, ke ili povus elsendi. La aŭtentikiga decido nomas la asertitan identecon, la metodon kaj la rezulton. La vivociklo de la seanco nomas la konekton, la enirejon kaj la asignitan adreson, de komenco ĝis halto.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Malplena ĉelo estas manko en kolektado, ne senkulpigo. Se rikordoj pri rimedoj neniam alvenas, la foresto de suspekta legado signifas, ke la tubaro havas nenion raporti, kaj silenta panelo priskribas la tubaron anstataŭ la reton. Notu, kiujn rikordojn la deplojo efektive produktas, antaŭ ol promesi regulon, kiu dependas de ili, kaj nomu la posedanton de ĉiu mankanta fluo.
Kontaj detaloj estas la loko, kie seancoj fariĝas kontroleblaj. RADIUS-kontado, kiel priskribite en RFC 2866, portas ĝisdatigojn pri komenco, halto kaj intertempo ligitajn al seaanca identigilo, do seanco kun komenco kaj sen halto estas manko, kiun vi povas nomi anstataŭ enigmo.
Ligu laŭ la seanco, ne laŭ la uzantnomo
Unu konto laŭleĝe tenas plurajn seancojn samtempe: tekkomputilo, telefono, laboratoria maŝino lasita konektita dum la nokto. Ligi ĉiun eventon por tiu uzantnomo kunfandas tri aparatojn en unu rakonton kaj poste legas la kombinaĵon kiel kompromiton. Asignitaj adresoj ankaŭ estas reciklitaj, do ligo, kiu daŭre kongruas adreson post la fino de la seanco, trenas la aparaton de pasinta monato en la hodiaŭan incidenton. Konservu la seaancan ŝlosilon apud la adreso kaj limigu la kongruon al la tempa fenestro, kiun la seanco efektive kovris.
Kie traduko forigas la originan fonton antaŭ ol servo vidas ĝin, uzu la identecon, kiu pluvivas ĉe tiu limo, kiel subjekton de reciproka TLS aŭ aserton de ununura ensaluto. Elpensi unu-al-unu mapadon inter adreso kaj persono estas la sama eraro kun pliaj paŝoj.
Averto sen posedanto estas panelo
Ĉiu regulo bezonas kondiĉon, la sendanĝerajn klarigojn, kiuj produktas ĝin, la pruvojn por eltiri, kaj la personon, kiu agas. Ripetita rifuzita administra operacio, eksplodo de malsukcesaj pasvortoj kaj silenta kolektanto estas tri malsamaj incidentoj kun tri malsamaj horloĝoj.
Sciigo ne estas limigo, kaj dissenda listo limigas nenion. Ŝanĝi vivan seancon postulas la komponenton, kiu povas tion fari, ĉu la enirejo faligas la konekton ĉu la identeca provizanto revokas la seancon. Malnoviĝintaj fluoj kaj mankantaj haltaj rikordoj ankaŭ apartenas al la regula teksto, ĉar kolektanto, kiu ne sendis ion dum tago, aspektas ĝuste kiel silenta reto de la panelo. La diferenco videblas nur en la tubaro mem.
Kontrolu la kolektan vojon antaŭ ol fidi silenan semajnon
Pruvu la tubaron de komenco ĝis fino antaŭ ol agordi unu regulon. La subaj komandoj konfirmas, ke la aŭskultantoj de aŭtentikigo kaj kontado estas aktivaj, ke testa akreditaĵo estas rifuzata pro la ĝusta kialo kaj ke seancaj eventoj ankoraŭ alvenas:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject el la testo pruvas, ke la peto atingis la servilon kaj ke la komuna sekreto kongruis, kaj tio estas la parto, kiun homoj preterlasas. Tempolimo anstataŭe montras al la sekreto, la aŭskultanto aŭ filtrilo antaŭ ĝi, kaj ĉiu averto malsupre estas nekonfirmebla ĝis tio ripariĝos.
La horloĝa stato gravas, ĉar korelaciaj fenestroj supozas interkonsenton. Enirejo, kiu devias je minutoj, igas alikaze puran seancan ligon ŝajni neebla, kaj reviziantoj kompensas larĝigante la fenestron ĝis la ligo ĉesos distingi. Kontrolu la diferencon antaŭ ol redakti la regulon.
Poste provu unu regulon sub sendanĝera testo: generu ensaluton el neatendita adreso, konfirmu, ke la averto ekas, konfirmu, ke la respondanto povas eltiri la seancon kaj ĝiajn rimedajn eventojn, kaj konfirmu, ke la bileto portas la seaancan identigilon. Regulo, kiu produktas koheran rakonton, pasas. Regulo, kiu produktas amason da protokolaj linioj, ankoraŭ estas panelo. Registru la rezulton apud la regulo, por ke la sekva revizio komenciĝu de pruvoj anstataŭ de intuicio.