Gailu bat VPNtik blokeatu kontu osoa desaktibatu gabe
Ordenagailu bat blokeatzeak VPNak benetan egiaztatu dezakeen gailu-proba hautatzea esan nahi du, eta gero kontu baliogabetua baino emaitza estuagoa hautatzea.
Langile bat, bi eramangarri, eta horietako batek bakarrik galdu behar du sarbidea. Kontua desaktibatzea palanka begi-bistakoa da, baina esparru okerra zigortzen du; muturreko gailuan gordetako profila ezabatzea iradokizuna da, ez kontrola. Erabakia hiru baldintzetara murrizten da: VPNak egiaztatu dezakeen gailu-identitaterik badagoen, konexio zehatz honek benetan ebaluatzen duen, eta pertsonarekin beharrean gailuarekin zer gertatzea nahi duzun. Erantzun horiei ordena horretan eta betearazpenak normalean bere burua aukeratzen du.
Lehen baldintza: badago VPNak egiaztatu dezakeen gailu-probarik?
Iturburu-helbidea bulegoko NATaren atzean partekatzen da eta sare mugikorretan aldatzen da. Ostalari-izena gailuak dioena da, MAC helbidea erraz faltsutzen da, eta erregistro-balio bat edozein tokiko eskubidedun gauzak idatz dezake. Horietako bat ere ez da identitatea, zerbait hura egiaztatzen duen arte. Bereiz erregistratutako gailu-kredentziala, muturreko horri emandako ziurtagiria adibidez, baliogabetzeari erabiltzaile-kontua baino helburu estuagoa ematen dion aukera bakarra da.
Kredentzialak balio du konexioak harekin autentifikatzen badu eta katea saiakera bakoitzean baliozkotzen badu. Makinaren biltegian datzan fitxategi batek ez du ezer frogatzen.
Bigarren baldintza: konexio honek ebaluatzen al du?
Muturreko atributuak ez dira unibertsalak. ASA batean, Cisco-ren ASDM DAP gidak erabiltzailearen AAA informazioa muturreko ebaluazio-atributuetatik bereizten du, eta zein atributu dagoen erabilgarri erabiltzen ari den urruneko sarbide-protokoloaren, zabaldutako posture tresnen eta lizentziaren araberakoa da. Erregistro-egiaztapenak onartutako bilketa-bidea behar du, eta orduan ere muturreko tresnak ikusi zuena jakinarazten du, ez makinak zu fidatzen zaren hura dela.
Beraz, galdera praktikoa estua da: tunel honetan, bezero honekin eta posture agente honekin, zein atributu iristen da beteta eta fidagarri? Erantzuna bat ere ez bada, haren aurka idatzitako politikak ezer ez edo dena bat egingo du, eta bi emaitzak saihesten ari zinen kontu-blokeoa baino okerragoak dira.
Hirugarren baldintza: ukoa, konponketa edo sarbide estuagoa?
Hiru emaitza daude eskuragarri eta ez dira trukagarriak. Saioa amaitu dezakezu, eta horrek sarbidea erabat kentzen du; gailua karantinan jar dezakezu konponketa-baliabideak soilik iristeko moduan; edo saioa utzi eta bere baliabide-ACLa gailu horrek oraindik behar dituen gauza gutxietara moztu dezakezu. DAP saio-ekintzek eta baliabide-ACLek galdera desberdinak erantzuten dituzte, beraz hautaketa pertsonak jasan behar duen kalte osagarriaz da.
Galdutako edo lapurtutako eramangarri batentzat erantzuna amaiera izan ohi da. Posture egiaztapen bat huts egin duen makinarentzat, konponketa atseginagoa da eta berdin eraginkorra.
Erabaki zer gertatzen den probarik ez dagoenean
Bide lehenetsiak garrantzi handiagoa du kasu onerako idatzi zenuen arauak baino. Espero zen atributua inoiz iristen ez bada posture agentea hondatuta dagoelako, hura eskatzen duen politikak saioa onartzen duen lehenetsi batera eror daiteke. Irakurri lehenetsitako emaitza eta probatu nahita probarik gabeko kasua, horixe baita agentea kentzen duen erasotzaileak aurkeztuko duen egoera.
Bat datozen DAP erregistro anitz agregatzen dira, ez dira lehen-bat-etortze ordena soilaz ebazten, eta haien ACL lehentasuna erregistro-hautaketaren mekanismo bereizia da. Irakurri gidaren agregazioaren deskribapena erregistro zorrotzenak irabazten duela suposatu aurretik.
Kudeatu lehendik dauden saioak, eta gero probatu bi gailuak
Sarrera-arau bat aldatzeak edo kredentzial bat baliogabetzeak ez du deskribatzen jada ezarrita dagoen eta trafikoa pasatzen duen saio bati zer gertatzen zaion. Berehalako kentzea baldintza bada, jarraitu inplementazioak onartutako saio-amaitze eta berregiaztatze prozedurari hurrengo berkonexioaren zain egon beharrean. Hau da gorabehera baten zehar gehienetan saltatzen den urratsa, eta politika eta emaitza arteko aldea da.
Probatu baimendutako erabiltzaile berarekin bi makinatan onartutako egiaztapen baten pean. Blokeatutako gailuak nahi zen ukapen edo konponketa-emaitza zehatza jaso behar du, eta besteak soilik bere baliabide baimenduak gorde. Horrek gailuaren muga egiaztatzen du pertsonaren beste sarbide onartua baliogabetu gabe.
Bi emaitza horiek desberdin egiterik ez baduzu, arazoa probetan dago, ez politikan, eta ez du arau-doikuntzak konponduko.