Net-autorisearre VPN-router: tagongskontrôle foar ûntsifering

In ûnbekende router dy't op in ynterne switchpoarte ferskynt en daliks in útgeand VPN iepenet, hat de wichtichste kontrôle al passearre. Tagong beslút oft it apparaat hielendal brûkber netwurkferkear kriget, wylst ûntsifering allinnich fertelt wat it dêrnei die. Dy folchoarder goed krije makket fan in ûnmooglik ynspeksjeprobleem in gewoane fraach oer poartebelied. It is ek it ferskil tusken in weromdraaibre aksje en in steuring.

Tagong wurdt op 'e poarte besletten

Freegje hoe't it apparaat brûkbere ferbining krige foardat jo freegje wat syn tunnel ferfiert. In router oan in libbene muorrepoarte, of in draadleaze klant dy't him by in iepen SSID oansleat, waard talitten troch it belied dat dy poarte of dat SSID tapast. As dat belied is "alles wat ynstutsen wurdt krijt in wurkjende VLAN", dan is it VPN in symptoom en net de kwetsberens.

In DHCP-hier is gjin autorisaasjerekord. In adres krije, of gjin ien krije, beskriuwt de adresopdrachtstsjinst, net de tastân fan 'e poarte, en in protte ûntwerpen litte in net-autentisearre apparaat in helpstsjinst berikke wylst al it oare wegere wurdt. Behandelje de hierekabel as bewiis oer adressearring, net oer fertrouwen.

Yn dizze ûndersiken wurde trije soarten bewiis trochinoar helle: in goedkarde persoan, in goedkard beheard apparaat en in ynskriuwing op in ynventarisblêd. It poartebelied moat dúdlik wêze oer hokker fan dizze it akseptearret, want in stellen oanmeldgegevens en in kloone MAC-adres foldogge oan ferskate.

Wat in autentisearre poarte feitlik beslút

Mei IEEE 802.1X is de switch of it tagongspunt de autentisearrer, en dy stjoert de oanmeldgegevens fan 'e oanfreger as RADIUS-klant nei in sintrale tsjinst. De RADIUS 802.1X-eigenskippen litte dat resultaat de poarte autorisearje en, ôfhinklik fan it ûntwerp, de sesje yn in beskaat VLAN of in beskate boekhâldingskontekst pleatse. De switch twingt allinnich ôf wat de beliedsserver weromjout as de poarte konfigurearre is om it ôf te twingen.

It is yn dy lêste klausule dat ymplemintaasjes stil mislearje. In poarte dy't yn monitor- of lochmodus litten is, registrearret it foarnommen beslút en lit ferkear dochs troch, wat yn elk rapport as in wurkjende ymplemintaasje liket oant immen in unbeheard router ynstekt.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Apparaten dy't gjin oanfreger drage kinne, hawwe in apart beslút nedich, gjin algemiene útsûndering. It omsyljen fan MAC-autentikaasje, in registraasjeportaal of in tawijde apparaat-VLAN binne allegear legitime antwurden, mar elk moat bewust keazen en dokumintearre wurde. Skriuw op hokker apparaatklassen de weromfal brûke meie en wa't se goedkart. In ûndokumintearre weromfal is krekt hoe't in unbeheard router in wurkjende VLAN krijt sûnder immen syn goedkarring.

Wat jo sûnder ûntsifering sjen kinne

Fersifering ferberget ladingen, net gedrach. Boarne- en bestimmingsadressen, poarten, pakkettiming, streamfolume en sesjeduor bliuwe sichtber op 'e grins dêr't jo se sammelje, en dy metadata binne faak genôch om in ûnbekend apparaat oan in poarte en in útgeande bestimming te keppeljen. Wat jo net lêze kinne, is de applikaasje yn 'e tunnel, en gjin pakketopname feroaret dat sûnder kaaien.

In oanhâldende tunnel is net automatysk kwea. Ferbinings tusken lokaasjes, reservekopy-aginten en ark foar behear op ôfstân rinne neffens it ûntwerp trochgeand, dus in stream dy't de hiele nacht duorret bewuist op himsels neat. Fergelykje it mei de rol dy't oan dat besit tawiisd is en mei de goedkarde basisline foar syn segmint.

Behein it útgeande ferkear mei opset. In bestimmingspoarte talitte is net itselde as de applikaasje goedkarre dy't dêrfan gebrûk makket, en in gissing fan in klassifisearrer is gjin autorisaasjebeslút. Sammelje de metadata dy't jo foar it ûndersyk nedich binne, mei in neamde eigner en in bewarperiode, ynstee fan standert alle ferkear fan elke brûker op te nimmen.

Behein troch de grins dy't jo behearskje

Foardat jo eat isolearje, befêstigje wa't it apparaat besit en wêr't it oansletten is. Brûk dan it ynsidintproses om de poarte te beheinen of de sesje yn te lûken, en bewarje de oanbelangjende lochs wylst it bewiis noch farsk is. In switchpoarte kin útskeakele en wer ynskeakele wurde; in produksje-omheechkeppeling dy't fjirtich buro's betsjinnet, kin net sa maklik weromdraaid wurde.

Fal it einpunt net oan en skeakelje gjin dielde poarte út allinnich om't in scan in VPN-protokol suggerearre. Beide aksjes ûnderbrekke legitym wurk sûnder it tagongsbeslút te ferbetterjen dat it apparaat der yn earste ynstânsje trochliet.

De akseptaasjetest is konkreet: in goedkard einpunt krijt noch altyd de tagong dy't syn rol freget, en in net-goedkard apparaat kin gjin lykweardich paad krije. Monitoring stipet dy grins, en it hoecht nimmen syn fersifering te brekken om de muoite wurdich te wêzen.