Routeur VPN non autorisé : maîtriser l’admission avant le déchiffrement

Un routeur inconnu qui apparaît sur un port de commutateur interne et ouvre aussitôt un VPN sortant a déjà franchi le contrôle qui compte le plus. L’admission décide si l’appareil obtient un accès réseau utilisable, tandis que le déchiffrement ne dit que ce qu’il a fait ensuite. Respecter cet ordre transforme un problème d’inspection impossible en une question routinière de politique de ports. C’est aussi la différence entre une action réversible et une panne de service.

L’admission se décide au port

Demandez comment l’appareil a obtenu une connectivité utilisable avant de demander ce que transporte son tunnel. Un routeur branché sur un port mural actif, ou un client sans fil qui a rejoint un SSID ouvert, a été admis par la politique qu’applique ce port ou ce SSID. Si cette politique revient à « tout ce qu’on branche obtient un VLAN fonctionnel », le VPN est un symptôme et non la vulnérabilité.

Un bail DHCP n’est pas un enregistrement d’autorisation. Recevoir une adresse, ou ne pas en recevoir, décrit le service d’attribution d’adresses, pas l’état du port, et bien des conceptions laissent un appareil non authentifié atteindre un service auxiliaire tout en refusant le reste. Traitez la table des baux comme une preuve d’adressage, non de confiance.

Trois types de preuves se confondent dans ces enquêtes : une personne approuvée, un appareil géré approuvé et une ligne sur une feuille d’inventaire. La politique du port devrait préciser lesquels elle accepte, car un identifiant volé et une adresse MAC clonée en satisfont des différents.

Ce qu’un port authentifié décide réellement

Avec IEEE 802.1X, le commutateur ou le point d’accès est l’authentificateur, et il transmet les identifiants du suppliant à un service central en tant que client RADIUS. Les attributs RADIUS 802.1X permettent à ce résultat d’autoriser le port et, selon la conception, de placer la session dans un VLAN donné ou un contexte de comptabilité donné. Le commutateur n’applique ce que renvoie le serveur de politique que si le port est configuré pour l’appliquer.

C’est sur cette dernière clause que les déploiements échouent en silence. Un port laissé en mode surveillance ou journalisation enregistre la décision attendue et laisse quand même passer le trafic, ce qui ressemble dans chaque rapport à un déploiement fonctionnel jusqu’à ce que quelqu’un branche un routeur non géré.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Les appareils qui ne peuvent pas exécuter de suppliant ont besoin d’une décision distincte, pas d’une exception générale. Le contournement de l’authentification MAC, un portail d’enregistrement ou un VLAN dédié aux appareils sont tous des réponses légitimes, mais chacune doit être choisie délibérément et documentée. Notez quelles classes d’appareils peuvent utiliser la solution de repli et qui les approuve. Une solution de repli non documentée est exactement la façon dont un routeur non géré obtient un VLAN fonctionnel sans l’approbation de personne.

Ce que vous pouvez voir sans déchiffrer

Le chiffrement masque les charges utiles, pas le comportement. Les adresses source et destination, les ports, la chronologie des paquets, le volume des flux et la durée des sessions restent visibles à la frontière où vous les collectez, et ces métadonnées suffisent souvent à relier un appareil inconnu à un port et à une destination sortante. Ce que vous ne pouvez pas lire, c’est l’application à l’intérieur du tunnel, et aucune capture de paquets ne change cela sans clés.

Un tunnel persistant n’est pas automatiquement malveillant. Les liaisons intersites, les agents de sauvegarde et les outils d’administration à distance fonctionnent en continu par conception, donc un flux qui dure toute la nuit ne prouve rien en soi. Comparez-le au rôle attribué à cet actif et à la base de référence approuvée pour son segment.

Encadrez la sortie à dessein. Autoriser un port de destination n’est pas approuver l’application qui l’utilise, et la supposition d’un classifieur n’est pas une décision d’autorisation. Collectez les métadonnées nécessaires à l’enquête, avec un responsable nommé et une fenêtre de conservation, au lieu de capturer par défaut tout le trafic de chaque utilisateur.

Contenez par la frontière que vous contrôlez

Avant d’isoler quoi que ce soit, confirmez à qui appartient l’appareil et où il est branché. Utilisez ensuite la procédure d’incident pour restreindre le port ou révoquer la session, en préservant les journaux utiles tant que les preuves sont fraîches. Un port de commutateur peut être désactivé puis réactivé ; une liaison montante de production qui sert quarante postes ne se défait pas aussi facilement.

Ne contre-attaquez pas le poste et ne désactivez pas un port partagé parce qu’une analyse a suggéré un protocole VPN. Ces deux actions interrompent un travail légitime sans améliorer la décision d’admission qui a laissé entrer l’appareil.

Le test d’acceptation est concret : un poste approuvé obtient toujours l’accès qu’exige son rôle, et un appareil non approuvé ne peut pas obtenir de chemin équivalent. La supervision soutient cette frontière, et elle n’a pas besoin de casser le chiffrement de quiconque pour valoir l’effort.