Luvaton VPN-reititin: pääsynvalvonta ennen salauksen purkamista

Tuntematon reititin, joka ilmestyy sisäiseen kytkinporttiin ja avaa heti lähtevän VPN:n, on jo ohittanut tärkeimmän valvonnan. Pääsy ratkaisee, saako laite ylipäätään käyttökelpoisen verkkoyhteyden, kun taas salauksen purkaminen kertoo vain, mitä se teki jälkeenpäin. Oikea järjestys muuttaa mahdottoman tarkastusongelman rutiininomaiseksi porttikäytännön kysymykseksi. Se on myös ero peruttavan toimen ja käyttökatkon välillä.

Pääsy ratkaistaan portissa

Kysy, miten laite sai käyttökelpoisen yhteyden, ennen kuin kysyt, mitä sen tunneli kuljettaa. Käytössä olevaan seinäporttiin kytketty reititin tai avoimeen SSID:hen liittynyt langaton asiakas otettiin sisään sillä käytännöllä, jota kyseinen portti tai SSID soveltaa. Jos käytäntö kuuluu "kaikki mikä kytketään saa toimivan VLAN:n", VPN on oire eikä haavoittuvuus.

DHCP-vuokraus ei ole valtuutustietue. Osoitteen saaminen tai saamatta jääminen kuvaa osoitteenjakopalvelua, ei portin tilaa, ja monet ratkaisut päästävät todentamattoman laitteen apupalveluun samalla kun kaikki muu evätään. Kohtele vuokrataulukkoa todisteena osoitteistuksesta, ei luottamuksesta.

Näissä tutkimuksissa sekoittuu kolmenlaisia todisteita: hyväksytty henkilö, hyväksytty hallittu laite ja merkintä inventaariolomakkeessa. Porttikäytännön tulisi sanoa selvästi, mitkä niistä se hyväksyy, koska varastettu kirjautumistieto ja kloonattu MAC-osoite täyttävät eri ehdot.

Mitä todennettu portti oikeastaan ratkaisee

IEEE 802.1X:ssä kytkin tai tukiasema on todentaja, ja se välittää pyytäjän kirjautumistiedot keskitettyyn palveluun RADIUS-asiakkaana. RADIUS 802.1X -määritteet antavat tuloksen valtuuttaa portin ja sijoittaa istunnon mallista riippuen tiettyyn VLAN:iin tai kirjanpitokontekstiin. Kytkin toteuttaa sen, mitä käytäntöpalvelin palauttaa, vain jos portti on määritetty toteuttamaan se.

Juuri tuossa viimeisessä lausekkeessa käyttöönotot epäonnistuvat hiljaa. Valvonta- tai lokitustilaan jätetty portti kirjaa aiotun päätöksen ja päästää liikenteen silti läpi, mikä näyttää jokaisessa raportissa toimivalta käyttöönotolta, kunnes joku kytkee hallitsemattoman reitittimen.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Laitteet, jotka eivät voi ajaa pyytäjää, tarvitsevat erillisen päätöksen, eivät yleistä poikkeusta. MAC-todennuksen ohittaminen, rekisteröintiportaali tai erillinen laite-VLAN ovat kaikki hyväksyttäviä vastauksia, mutta jokainen on valittava tietoisesti ja dokumentoitava. Kirjaa, mitkä laiteluokat saavat käyttää varareittiä ja kuka ne hyväksyy. Dokumentoimaton varareitti on juuri se tapa, jolla hallitsematon reititin saa toimivan VLAN:n ilman kenenkään hyväksyntää.

Mitä voit nähdä purkamatta salausta

Salaus piilottaa hyötykuorman, ei käyttäytymistä. Lähde- ja kohdeosoitteet, portit, pakettien ajoitus, virtauksen määrä ja istunnon kesto pysyvät näkyvinä sillä rajalla, jossa ne keräät, ja nämä metatiedot riittävät usein yhdistämään tuntemattoman laitteen porttiin ja lähtevään kohteeseen. Se, mitä et voi lukea, on tunnelin sisällä oleva sovellus, eikä mikään paketinkaappaus muuta sitä ilman avaimia.

Pysyvä tunneli ei ole automaattisesti haitallinen. Toimipaikkojen väliset yhteydet, varmuuskopiointiagentit ja etähallintatyökalut toimivat jatkuvasti suunnittelunsa mukaisesti, joten koko yön kestävä virtaus ei yksinään todista mitään. Vertaa sitä laitteelle annettuun rooliin ja sen segmentin hyväksyttyyn perustasoon.

Rajaa lähtevä liikenne tarkoituksella. Kohdeportin salliminen ei ole sama kuin sitä käyttävän sovelluksen hyväksyminen, eikä luokittelijan arvaus ole valtuutuspäätös. Kerää tutkimukseen tarvittavat metatiedot nimetyn omistajan ja säilytysikkunan kanssa sen sijaan, että kaappaisit oletuksena jokaisen käyttäjän koko liikenteen.

Rajoita hallitsemasi rajan kautta

Ennen kuin eristät mitään, varmista kenen laite on ja mihin se on kytketty. Käytä sitten tapahtumaprosessia portin rajaamiseen tai istunnon peruuttamiseen ja säilytä asiaankuuluvat lokit, kun todisteet ovat vielä tuoreita. Kytkinportti voidaan poistaa käytöstä ja ottaa uudelleen käyttöön; tuotannon ylävirran linkkiä, joka palvelee neljääkymmentä työpöytää, ei peruta yhtä helposti.

Älä vastahyökkää päätelaitteeseen äläkä poista jaettua porttia käytöstä vain siksi, että skannaus vihjasi VPN-protokollasta. Molemmat toimet keskeyttävät laillista työtä parantamatta sitä pääsypäätöstä, joka päästi laitteen sisään alun perin.

Hyväksymistesti on konkreettinen: hyväksytty päätelaite saa edelleen roolinsa vaatiman pääsyn, eikä hyväksymätön laite voi saada vastaavaa polkua. Valvonta tukee tätä rajaa, eikä sen tarvitse murtaa kenenkään salausta ollakseen vaivan arvoista.