روتر VPN غیرمجاز: کنترل پذیرش پیش از رمزگشایی

روتر ناشناسی که روی یک پورت سوئیچ داخلی ظاهر می‌شود و بی‌درنگ یک VPN خروجی باز می‌کند، از پیش از مهم‌ترین کنترل گذشته است. پذیرش تعیین می‌کند که دستگاه اصلاً دسترسی شبکه قابل استفاده بگیرد یا نه، در حالی که رمزگشایی فقط می‌گوید بعد از آن چه کرد. درست کردن این ترتیب، یک مسئله بازرسی ناممکن را به پرسشی روتین درباره سیاست پورت تبدیل می‌کند. همچنین تفاوت میان اقدامی برگشت‌پذیر و یک قطعی سرویس است.

پذیرش در پورت تعیین می‌شود

پیش از پرسیدن اینکه تونل دستگاه چه چیزی حمل می‌کند، بپرسید چگونه اتصال قابل استفاده گرفت. روتری که به یک پورت دیواری فعال وصل شده، یا کارخواه بی‌سیمی که به یک SSID باز پیوسته، با همان سیاستی پذیرفته شده که آن پورت یا SSID اعمال می‌کند. اگر آن سیاست این باشد که «هر چیزی که وصل شود یک VLAN کارکننده می‌گیرد»، VPN نشانه است نه آسیب‌پذیری.

اجاره DHCP یک سابقه مجوز نیست. گرفتن نشانی یا نگرفتن آن، خدمت تخصیص نشانی را توصیف می‌کند نه وضعیت پورت را، و بسیاری از طرح‌ها به دستگاهی تأییدنشده اجازه می‌دهند به یک خدمت کمکی برسد و در همان حال همه چیز دیگر را منع می‌کنند. جدول اجاره را شواهدی درباره نشانی‌دهی بدانید، نه درباره اعتماد.

در این بررسی‌ها سه گونه شواهد با هم اشتباه می‌شوند: شخص تأییدشده، دستگاه مدیریت‌شده تأییدشده و یک ردیف در برگه فهرست. سیاست پورت باید روشن بگوید کدام‌یک از این‌ها را می‌پذیرد، چون اعتبارنامه دزدیده‌شده و نشانی MAC کلون‌شده گونه‌های متفاوتی را برمی‌آورند.

پورت تأییدشده در واقع چه چیزی را تعیین می‌کند

با IEEE 802.1X، سوئیچ یا نقطه دسترسی تأییدکننده است و اعتبارنامه‌های متقاضی را به‌عنوان کارخواه RADIUS به خدمتی مرکزی می‌فرستد. ویژگی‌های RADIUS 802.1X اجازه می‌دهند آن نتیجه پورت را مجاز کند و بسته به طرح، نشست را در VLAN مشخص یا زمینه حسابداری مشخصی قرار دهد. سوئیچ آنچه سرور سیاست برمی‌گرداند فقط وقتی اعمال می‌کند که پورت برای اعمال آن پیکربندی شده باشد.

دقیقاً در همین بند آخر است که استقرارها بی‌صدا شکست می‌خورند. پورتی که در حالت پایش یا ثبت رها شده، تصمیم فرضی را ثبت می‌کند و همچنان ترافیک را عبور می‌دهد، که در هر گزارشی مانند استقراری کارکننده به نظر می‌رسد تا کسی یک روتر مدیریت‌نشده وصل کند.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

دستگاه‌هایی که نمی‌توانند متقاضی اجرا کنند به تصمیمی جدا نیاز دارند، نه استثنایی فراگیر. دور زدن تأیید MAC، درگاه ثبت‌نام یا VLAN اختصاصی دستگاه‌ها همه پاسخ‌های مشروع‌اند، اما هر یک باید آگاهانه انتخاب و مستند شود. بنویسید کدام رده‌های دستگاه می‌توانند از مسیر جایگزین استفاده کنند و چه کسی آن‌ها را تأیید می‌کند. مسیر جایگزین مستندنشده دقیقاً همان راهی است که یک روتر مدیریت‌نشده بدون تأیید هیچ‌کس یک VLAN کارکننده می‌گیرد.

بدون رمزگشایی چه چیزی را می‌بینید

رمزنگاری محموله‌ها را پنهان می‌کند، نه رفتار را. نشانی‌های مبدأ و مقصد، پورت‌ها، زمان‌بندی بسته‌ها، حجم جریان و مدت نشست در همان مرزی که جمع‌آوری می‌کنید دیدنی می‌مانند، و این فراداده‌ها اغلب برای پیوند دادن دستگاهی ناشناس به یک پورت و یک مقصد خروجی کافی است. آنچه نمی‌توانید بخوانید برنامه درون تونل است، و هیچ ضبط بسته‌ای بدون کلید آن را تغییر نمی‌دهد.

یک تونل پایدار به‌طور خودکار مخرب نیست. پیوندهای سایت‌به‌سایت، عامل‌های پشتیبان‌گیری و ابزارهای مدیریت از راه دور به‌حکم طراحی پیوسته کار می‌کنند، پس جریانی که تمام شب دوام می‌آورد به‌خودی خود چیزی را اثبات نمی‌کند. آن را با نقشی که به این دارایی سپرده شده و با خط پایه تأییدشده برای بخش آن مقایسه کنید.

خروجی را آگاهانه محدود کنید. اجازه دادن به یک پورت مقصد با تأیید برنامه‌ای که از آن استفاده می‌کند یکی نیست، و حدس یک طبقه‌بندی‌کننده تصمیم مجوز نیست. فراداده‌های لازم برای بررسی را با مالک نام‌برده و بازه نگهداری جمع کنید، نه اینکه به‌طور پیش‌فرض تمام ترافیک هر کاربر را ضبط کنید.

از همان مرزی که در اختیار دارید مهار کنید

پیش از جداسازی هر چیزی، تأیید کنید دستگاه از آنِ کیست و کجا وصل شده است. سپس با فرایند رخداد، پورت را محدود کنید یا نشست را لغو کنید و گزارش‌های مربوط را تا زمانی که شواهد تازه است نگه دارید. پورت سوئیچ را می‌توان غیرفعال و دوباره فعال کرد؛ اما یک پیوند بالادستی تولیدی که چهل میز را سرویس می‌دهد به این سادگی بازگشت‌پذیر نیست.

به نقطه پایانی حمله متقابل نکنید و پورت مشترکی را فقط به این دلیل که یک پویش نشانه‌ای از پروتکل VPN داد غیرفعال نکنید. هر دو کار، کار مشروع را قطع می‌کنند بدون آنکه تصمیم پذیرشی را که دستگاه را از ابتدا راه داد بهتر کنند.

آزمون پذیرش ملموس است: نقطه پایانی تأییدشده همچنان دسترسی موردنیاز نقشش را می‌گیرد و دستگاه تأییدنشده نمی‌تواند مسیر هم‌ارز بگیرد. پایش از این مرز پشتیبانی می‌کند و لازم نیست رمزنگاری کسی را بشکند تا ارزش تلاش را داشته باشد.