Router VPN no autorizado: control de admisión antes del descifrado

Un router desconocido que aparece en un puerto de conmutador interno y abre de inmediato una VPN de salida ya ha superado el control que más importa. La admisión decide si el dispositivo obtiene acceso de red utilizable, mientras que el descifrado solo le dice qué hizo después. Acertar con ese orden convierte un problema de inspección imposible en una cuestión rutinaria de política de puertos. También es la diferencia entre una acción reversible y una caída del servicio.

La admisión se decide en el puerto

Pregunte cómo obtuvo el dispositivo conectividad utilizable antes de preguntar qué transporta su túnel. Un router conectado a un puerto de pared activo, o un cliente inalámbrico que se unió a un SSID abierto, fue admitido por la política que aplique ese puerto o ese SSID. Si esa política es «todo lo que se enchufa obtiene una VLAN funcional», la VPN es un síntoma y no la vulnerabilidad.

Una concesión DHCP no es un registro de autorización. Recibir una dirección, o no recibirla, describe el servicio de asignación de direcciones, no el estado del puerto, y muchos diseños dejan que un dispositivo no autenticado llegue a un servidor auxiliar mientras deniegan todo lo demás. Trate la tabla de concesiones como evidencia sobre direccionamiento, no sobre confianza.

En estas investigaciones se confunden tres tipos de evidencia: una persona aprobada, un dispositivo gestionado aprobado y una entrada en una hoja de inventario. La política del puerto debería ser explícita sobre cuáles acepta, porque una credencial robada y una dirección MAC clonada satisfacen tipos distintos.

Qué decide realmente un puerto autenticado

Con IEEE 802.1X, el conmutador o el punto de acceso es el autenticador, y reenvía las credenciales del suplicante a un servicio central como cliente RADIUS. Los atributos RADIUS 802.1X permiten que ese resultado autorice el puerto y, según el diseño, sitúen la sesión en una VLAN concreta o en un contexto de contabilidad concreto. El conmutador aplica lo que devuelve el servidor de políticas solo si el puerto está configurado para aplicarlo.

Es en esa última cláusula donde las implementaciones fallan en silencio. Un puerto dejado en modo de monitorización o registro anota la decisión que correspondería y sigue dejando pasar tráfico, lo que en todos los informes parece una implementación funcionando hasta que alguien conecta un router no gestionado.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Los dispositivos que no pueden ejecutar un suplicante necesitan una decisión aparte, no una excepción general. La omisión de la autenticación MAC, un portal de registro o una VLAN dedicada a dispositivos son respuestas legítimas, pero cada una debe elegirse a propósito y documentarse. Anote qué clases de dispositivo pueden usar la alternativa y quién las aprueba. Una alternativa sin documentar es exactamente cómo un router no gestionado termina con una VLAN funcional y sin la aprobación de nadie.

Qué puede ver sin descifrar

El cifrado oculta las cargas útiles, no el comportamiento. Las direcciones de origen y destino, los puertos, el tiempo de los paquetes, el volumen del flujo y la duración de la sesión permanecen visibles en la frontera donde los recoge, y esos metadatos suelen bastar para vincular un dispositivo desconocido con un puerto y un destino de salida. Lo que no puede leer es la aplicación dentro del túnel, y ninguna captura de paquetes lo cambia sin claves.

Un túnel persistente no es automáticamente malicioso. Los enlaces entre sedes, los agentes de copia de seguridad y las herramientas de administración remota funcionan de forma continua por diseño, así que un flujo que dura toda la noche no demuestra nada por sí solo. Compárelo con el papel asignado a ese activo y con la línea base aprobada para su segmento.

Acaute la salida a propósito. Permitir un puerto de destino no es lo mismo que aprobar la aplicación que lo usa, y la conjetura de un clasificador no es una decisión de autorización. Recoja los metadatos que necesita para la investigación, con un responsable nombrado y una ventana de retención, en lugar de capturar por defecto todo el tráfico de cada usuario.

Contenga a través de la frontera que controla

Antes de aislar nada, confirme quién es el propietario del dispositivo y dónde está conectado. Después use el proceso de incidentes para restringir el puerto o revocar la sesión, preservando los registros relevantes mientras la evidencia aún está fresca. Un puerto de conmutador se puede desactivar y volver a activar; un enlace ascendente de producción que sirve cuarenta mesas no se deshace con la misma facilidad.

No contraataque el punto final ni desactive un puerto compartido porque un escaneo haya sugerido un protocolo VPN. Ambas acciones interrumpen trabajo legítimo sin mejorar la decisión de admisión que dejó entrar al dispositivo.

La prueba de aceptación es concreta: un punto final aprobado sigue obteniendo el acceso que exige su papel, y un dispositivo no aprobado no puede obtener una ruta equivalente. La monitorización sostiene esa frontera, y no necesita romper el cifrado de nadie para valer el esfuerzo.