مسدود کردن یک دستگاه از VPN بدون غیرفعال کردن کل حساب
مسدود کردن یک رایانه یعنی انتخاب اینکه VPN واقعاً کدام شواهد دستگاه را می‌تواند بررسی کند و سپس انتخاب نتیجه‌ای محدودتر از حساب لغوشده.
یک کارمند، دو لپ‌تاپ، و فقط یکی از آن‌ها باید دسترسی را از دست بدهد. غیرفعال کردن حساب اهرم بدیهی است اما دامنه اشتباه را تنبیه می‌کند، در حالی که حذف یک نمایه ذخیره‌شده روی نقطه پایانی یک پیشنهاد است نه یک کنترل. تصمیم به سه شرط برمی‌گردد: آیا هویت دستگاهی وجود دارد که VPN بتواند بررسی کند، آیا این اتصال خاص واقعاً آن را ارزیابی می‌کند، و می‌خواهید با دستگاه چه اتفاقی بیفتد نه با شخص. به همان ترتیب پاسخ دهید و اجرا معمولاً خودش را انتخاب می‌کند.
شرط اول: آیا شواهد دستگاهی وجود دارد که VPN بتواند بررسی کند؟
نشانی مبدأ پشت NAT اداری مشترک است و در شبکه‌های همراه تغییر می‌کند. نام میزبان همان چیزی است که دستگاه ادعا می‌کند، نشانی MAC به‌سادگی جعل می‌شود، و مقدار رجیستری را هر چیزی با دسترسی محلی می‌تواند بنویسد. هیچ‌یک از این‌ها هویت نیست تا وقتی چیزی آن را بررسی کند. یک اعتبارنامه دستگاه که جداگانه ثبت شده باشد، مانند گواهی صادرشده برای همان نقطه پایانی، تنها گزینه‌ای است که به لغو، هدفی محدودتر از حساب کاربر می‌دهد.
اعتبارنامه تنها وقتی به حساب می‌آید که اتصال با آن احراز هویت کند و در هر تلاش زنجیره را اعتبارسنجی کند. فایلی که در انبار ماشین نشسته است چیزی را ثابت نمی‌کند.
شرط دوم: آیا این اتصال آن را ارزیابی می‌کند؟
ویژگی‌های نقطه پایانی جهانی نیستند. روی ASA، راهنمای ASDM DAP از Cisco اطلاعات AAA کاربر را از ویژگی‌های ارزیابی نقطه پایانی جدا می‌کند، و اینکه کدام ویژگی‌ها در دسترس باشند به پروتکل دسترسی از راه دور، ابزارهای posture مستقر و مجوز بستگی دارد. بررسی رجیستری به مسیر جمع‌آوری پشتیبانی‌شده نیاز دارد و حتی در آن صورت آنچه را ابزار نقطه پایانی دیده گزارش می‌کند، نه اینکه ماشین همانی است که به آن اعتماد دارید.
پس پرسش عملی محدود است: روی این تونل، با این کارخواه و این عامل posture، کدام ویژگی پرشده و قابل‌اعتماد می‌رسد؟ اگر پاسخ هیچ‌کدام باشد، سیاستی که علیه آن نوشته شده با هیچ‌چیز یا با همه‌چیز مطابقت می‌کند و هر دو نتیجه بدتر از قفل حسابی است که از آن پرهیز می‌کردید.
شرط سوم: رد، اصلاح، یا دسترسی محدودتر؟
سه نتیجه در دسترس است و جایگزین یکدیگر نمی‌شوند. می‌توانید نشست را پایان دهید که دسترسی را کاملاً حذف می‌کند؛ می‌توانید دستگاه را در قرنطینه قرار دهید در وضعیتی که فقط به منابع اصلاح دسترسی دارد؛ یا می‌توانید نشست را باز بگذارید و ACL منابع آن را به همان چند چیزی که دستگاه هنوز نیاز دارد کاهش دهید. کنش‌های نشست DAP و ACLهای منابع به پرسش‌های متفاوتی پاسخ می‌دهند، بنابراین انتخاب درباره میزان آسیب جانبی است که شخص باید تحمل کند.
برای لپ‌تاپ گم‌شده یا دزدیده‌شده پاسخ معمولاً پایان دادن است. برای ماشینی که در بررسی posture رد شده، اصلاح مهربان‌تر و به همان اندازه مؤثر است.
تصمیم بگیرید وقتی شواهد غایب است چه می‌شود
مسیر پیش‌فرض مهم‌تر از قاعده‌ای است که برای حالت خوب نوشته‌اید. اگر ویژگی مورد انتظار هرگز نرسد چون عامل posture خراب است، سیاستی که آن را الزامی می‌کند ممکن است به پیش‌فرضی بیفتد که نشست را می‌پذیرد. نتیجه پیش‌فرض را بخوانید و حالت نبود شواهد را عمداً آزمایش کنید، چون همان وضعیتی است که مهاجمی که عامل را حذف می‌کند ارائه خواهد داد.
چند رکورد DAP منطبق تجمیع می‌شوند نه اینکه با ترتیب ساده اولین انطباق حل شوند، و اولویت ACL آن‌ها سازوکاری جدا از انتخاب رکورد است. پیش از فرض اینکه رکورد سخت‌گیرانه‌تر برنده می‌شود، توضیح تجمیع در راهنما را بخوانید.
به نشست‌هایی که از قبل وجود دارند رسیدگی کنید، سپس هر دو دستگاه را آزمایش کنید
تغییر یک قاعده پذیرش یا لغو یک اعتبارنامه توصیف نمی‌کند که با نشستی که از قبل برقرار شده و ترافیک عبور می‌دهد چه می‌شود. اگر حذف فوری لازم است، رویه پایان نشست و ارزیابی مجدد پشتیبانی‌شده در پیاده‌سازی را دنبال کنید نه اینکه منتظر اتصال مجدد بعدی بمانید. این همان مرحله‌ای است که در هنگام حادثه بیشتر از همه نادیده گرفته می‌شود و تفاوت میان سیاست و نتیجه است.
با همان کاربر مجاز روی هر دو ماشین زیر یک بررسی تأییدشده آزمایش کنید. دستگاه مسدودشده باید دقیقاً همان رد یا نتیجه اصلاح مورد نظر را دریافت کند و دیگری فقط منابع مجاز خود را نگه دارد. این مرز دستگاه را بدون لغو دسترسی تأییدشده دیگر شخص تأیید می‌کند.
اگر نمی‌توانید آن دو نتیجه را متفاوت کنید، مشکل شواهد است نه سیاست، و هیچ میزان تنظیم قاعده آن را درست نمی‌کند.