Volitamata VPN-ruuter: vastuvõtukontroll enne dekrüpteerimist

Sisemisel kommutaatori pordil ilmuv ja kohe väljuva VPN-i avav tundmatu ruuter on juba läbinud kõige olulisema kontrolli. Vastuvõtt otsustab, kas seade saab üldse kasutatava võrguühenduse, samas kui dekrüpteerimine ütleb ainult, mida see hiljem tegi. Õige järjekord muudab võimatu inspekteerimisprobleemi rutiinseks pordipoliitika küsimuseks. See on ka vahe pööratava tegevuse ja katkestuse vahel.

Vastuvõtt otsustatakse pordil

Küsi, kuidas seade kasutatava ühenduse sai, enne kui küsid, mida selle tunnel kannab. Aktiivsesse seinapordi ühendatud ruuter või avatud SSID-ga liitunud traadita klient võeti vastu poliitikaga, mida see port või SSID rakendab. Kui see poliitika on "kõik, mis sisse pistetakse, saab töötava VLAN-i", on VPN sümptom, mitte haavatavus.

DHCP-rendileping ei ole volituskirje. Aadressi saamine või mittesaamine kirjeldab aadresside jagamise teenust, mitte pordi olekut, ja paljud lahendused lasevad autentimata seadmel jõuda abiteenuseni, keelates kõik muu. Käsitle rendilepingute tabelit tõendina adresseerimise, mitte usalduse kohta.

Nendes uurimistes aetakse segamini kolme liiki tõendid: kinnitatud isik, kinnitatud hallatav seade ja kirje inventuurilehel. Pordipoliitika peaks selgelt ütlema, milliseid neist see aktsepteerib, sest varastatud volitus ja kloonitud MAC-aadress vastavad erinevatele.

Mida autenditud port tegelikult otsustab

IEEE 802.1X puhul on kommutaator või juurdepääsupunkt autentija ja edastab taotleja volitused RADIUS-kliendina kesksele teenusele. RADIUS 802.1X atribuudid lubavad sellel tulemusel porti volitada ja sõltuvalt lahendusest paigutada sessiooni kindlasse VLAN-i või arvestuskonteksti. Kommutaator rakendab poliitikaserveri tagastatut ainult siis, kui port on rakendamiseks konfigureeritud.

Just viimases tingimuses ebaõnnestuvad juurutused vaikselt. Jälgimis- või logimisrežiimi jäetud port registreerib kavatsetud otsuse ja laseb liikluse ikkagi läbi, mis näeb igas aruandes välja nagu toimiv juurutus, kuni keegi ühendab haldamata ruuteri.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Seadmed, mis ei suuda taotlejat käivitada, vajavad eraldi otsust, mitte üldist erandit. MAC-autentimise möödaminek, registreerimisportaal või eraldiseisev seadme-VLAN on kõik legitiimsed vastused, kuid igaüks tuleb valida teadlikult ja dokumenteerida. Kirjuta üles, millised seadmeklassid tohivad varuvarianti kasutada ja kes need kinnitab. Dokumenteerimata varuvariant on täpselt see tee, millega haldamata ruuter saab töötava VLAN-i ilma kellegi kinnituseta.

Mida näed ilma dekrüpteerimata

Krypteerimine varjab kasulikku koormust, mitte käitumist. Lähte- ja sihtaadressid, pordid, pakettide ajastus, vooluhulk ja sessiooni kestus jäävad nähtavaks piiril, kus neid kogud, ja see metaandmestik on sageli piisav, et siduda tundmatu seade pordi ja väljuva sihtkohaga. Mida lugeda ei saa, on tunnelis olev rakendus, ja ükski paketipüük ei muuda seda ilma võtmeteta.

Püsiv tunnel ei ole automaatselt pahatahtlik. Saidivahelised ühendused, varundusagendid ja kaugaldusvahendid töötavad disaini järgi pidevalt, nii et kogu öö kestev voog ei tõesta iseenesest midagi. Võrdle seda sellele varale määratud rolliga ja selle segmendi kinnitatud baasjoonega.

Piira väljuvat liiklust teadlikult. Sihtpordi lubamine ei ole sama, mis seda kasutava rakenduse kinnitamine, ja klassifitseerija oletus ei ole volitusotsus. Kogu uurimiseks vajalik metaandmestik nimetatud omaniku ja säilitusaknaga, selle asemel et vaikimisi salvestada iga kasutaja kogu liiklus.

Tõkesta piiri kaudu, mida kontrollid

Enne millegi isoleerimist kinnita, kellele seade kuulub ja kuhu see on ühendatud. Seejärel kasuta intsidendiprotsessi pordi piiramiseks või sessiooni tühistamiseks, säilitades asjakohased logid, kuni tõendid on veel värsked. Kommutaatori porti saab välja ja uuesti sisse lülitada; neljakümmet töölauda teenindavat tootmise ühendusliini nii lihtsalt tagasi ei võeta.

Ära vasturünda lõpp-punkti ja ära lülita välja jagatud porti ainult sellepärast, et skann vihjas VPN-protokollile. Mõlemad tegevused katkestavad legitiimse töö, parandamata vastuvõtuotsust, mis seadme üldse sisse lasi.

Vastuvõtutest on konkreetne: kinnitatud lõpp-punkt saab endiselt rolli nõutava juurdepääsu ja kinnitamata seade ei saa samaväärset teed. Jälgimine toetab seda piiri ja selleks ei pea kellegi krüpteerimist murdma, et pingutus end ära tasuks.