Ien apparaat fan VPN blokkearje sûnder it hiele akkount út te skeakeljen

Ien meiwurker, twa laptops, en mar ien fan harren moat tagong ferlieze. It akkount útskeakelje is de foar de hân lizzende hefboom, mar it straft de ferkearde omfang, wylst it wiskjen fan in bewarre profyl op it einpunt in foarstel is en gjin kontrôle. De beslissing komt del op trije betingsten: oft der in apparaatidentiteit is dy't de VPN ferifiearje kin, oft dizze konkrete ferbining dy echt evaluearret, en wat jo wolle dat der mei it apparaat bart ynstee fan mei de persoan. Beäntwurdzje se yn dy oarder, en de hanthavening kiest himsels meastentiids.

Earste betingst: binne der apparaatbewizen dy't de VPN ferifiearje kin?

In boarneadres wurdt dield efter de NAT fan it kantoar en feroaret op mobylnetwurken. In hostnamme is wat it apparaat beweart, in MAC-adres wurdt triviaal ferfalske, en in registerwearde kin troch alles mei lokale rjochten skreaun wurde. Gjin fan dizze is in identiteit oant eat it ferifiearret. In apart registrearre apparaatbewiis, lykas in sertifikaat dat oan dat einpunt útjûn is, is de ienige opsje dy't weromlûken in doel jout dat smeller is as it brûkersakkount.

It bewiis jildt allinnich as de ferbining dermei autentisearret en de keatling by elke poging falidearret. In bestân dat yn de opslach fan 'e masine leit, bewiist neat.

Twadde betingst: evaluearret dizze ferbining it?

Einputattributen binne net universeel. Op in ASA skiedt Cisco syn ASDM DAP-gids brûkers-AAA-ynformaasje fan einpuntbeoardielingsattributen, en hokker attributen beskikber binne hinget ôf fan it brûkte protokol foar tagong op ôfstân, de útrôle posture-ark en de lisinsje. In registerkontrôle hat it stipe sammelpaad nedich, en sels dan rapportearret it wat it einpuntark seach, net dat de masine dejinge is dy't jo fertrouwe.

Dat de praktyske fraach is smel: op dizze tunnel, mei dizze klant en dizze posture-agent, hokker attribút komt fol yn en betrouber oan? As it antwurd gjin is, sil in belied dat dertsjin skreaun is neat of alles passe, en beide útkomsten binne slimmer as de akkountsperring dy't jo mijden.

Tredde betingst: ôfwizing, ferbettering of smeller tagong?

Trije útkomsten binne beskikber en se binne net útwikselber. Jo kinne de sesje beëinigje, wat tagong folslein fuorthellet; jo kinne it apparaat yn karantêne sette yn in tastân wêryn't it allinnich ferbetteringsboarnen berikke kin; of jo kinne de sesje stean litte en syn boarne-ACL besnije ta de pear dingen dy't dat apparaat noch nedich hat. DAP-sesje-aksjes en boarne-ACL's beäntwurdzje ferskillende fragen, dat de kar giet oer hoefolle sydskea de persoan absorbearje moat.

Foar in ferlern of stellen laptop is it antwurd meastentiids beëiniging. Foar in masine dy't in posture-kontrôle net helle, is ferbettering freonliker en like effektyf.

Beslis wat der bart as de bewizen ûntbrekke

It standertpaad is wichtiger as de regel dy't jo foar it goede gefal skreaun hawwe. As it ferwachte attribút nea oankomt om't de posture-agent stikken is, kin in belied dat it easket trochfalle nei in standert dat de sesje talit. Lês it standertresultaat en test it gefal fan ûntbrekkende bewizen bewust, want dat is de tastân dy't in oanfaller dy't de agent fuorthellet, presintearje sil.

Ferskate oerienkommende DAP-records wurde aggregearre ynstee fan oplost troch ienfâldige earste-oerienkomst-oarder, en har ACL-prioriteit is in apart meganisme fan recordkar. Lês de beskriuwing fan aggregaasje yn 'e gids foardat jo oannimme dat it strangere record wint.

Behannelje sesjes dy't al bestean, test dan beide apparaten

In talittingsregel feroarje of in bewiis weromlûke beskriuwt net wat der bart mei in sesje dy't al festige is en ferkear trochjout. As fuortendaliks fuortheljen de eask is, folgje dan de stipe sesje-beëinigings- en werbeoardielingsproseduere fan 'e ymplemintaasje ynstee fan te wachtsjen op 'e folgjende werferbining. Dit is de stap dy't by in ynsidint it meast oerslein wurdt, en it is it ferskil tusken in belied en in útkomst.

Test mei deselde tastiene brûker op beide masines ûnder in goedkarde kontrôle. It blokkearre apparaat moat krekt de bedoelde ôfwizing of ferbetteringsútkomst krije, en it oare moat allinnich syn autorisearre boarnen hâlde. Dat ferifiearret de apparaatgrins sûnder de oare goedkarde tagong fan 'e persoan werom te lûken.

As jo dy twa útkomsten net ferskille litte kinne, is it probleem de bewizen, net it belied, en gjin hoemannichte regelôfstelling sil it reparearje.