VPN-ynlochwarskôgings binne gjin ynkringingswarskôgings: folgje de sesje
In ûngewoane oanmelding is in oanlieding foar kontrôle, gjin feroardieling. Keppelje it autentikaasjerecord oan in sesje en dan oan wat dy oanrekke, foardat jo it in ynkringing neame.
In VPN-warskôging dy't ôfgiet by in nij lân liket beslissend, en dat is it meastentiids net. Autentikaasje seit dat in poging akseptearre is; de sesje seit hokker ferbining dy droech; resource-records sizze wat der binnen dy ferbining barde. Elk beantwurdet in oare fraach. In regel dy't alle trije gearfoeget, produsearret tritich tickets op moandei en mist it echte gefal op freed.
In bûtenlânsk adres is in fraach, gjin antwurd
Reizen, mobile operators dy't yn in oar lân útgeane, in bedriuwswebproxy en in opnij tawiisd carrier-grade NAT-pool ferpleatse allegear de skynbere boarne sûnder de oanfaller te ferpleatsen. It oanmeldingsrecord wjerspegelet wêr't de ferbining it netwurk yngie, net wa't it apparaat fêsthold.
De omkearde mislearring is slimmer om't er stil is. In stellen wachtwurd dat út 'e stêd fan 'e brûker sels brûkt wurdt, jout in oanmelding dy't by elke eardere oanmelding op 'e geografyske kontrôle past.
Geografy as it feroardiel behannelje hat mjitbere kosten. Reizgjende laptops produsearje in stadige stream kontrôles, kontrôleurs leare se te sluten sûnder te lêzen, en de gewoante bliuwt oant in echt gefal yn deselde rige komt.
Trije recordtypen beantwurdzje trije ferskillende fragen
Begjin by wat de útrôle produkten echt útstjoere, net by wat in produktbrosjure suggerearret dat se útstjoere kinne. It autentikaasjebeslút neamt de bewearde identiteit, de metoade en it resultaat. De libbenssyklus fan 'e sesje neamt de ferbining, de gateway en it tawiisde adres, fan begjin oant stop.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
In lege sel is in sammelgat, gjin frijspraak. As resource-eveneminten nea oankomme, betsjut it ûntbrekken fan in fertochte lêzing dat de pipeline neat te melden hat, en in stil dashboard beskriuwt de pipeline ynstee fan it netwurk. Skriuw op hokker records de útrôle eins produsearret foardat jo in regel tasizze dy't dêrfan ôfhinget, en neam de eigner fan elke ûntbrekkende feed.
Boekhâlddetails binne it plak dêr't sesjes kontrolearber wurde. RADIUS-boekhâlding sa't dy beskreaun is yn RFC 2866 draacht begin-, stop- en tuskenbywurkingen dy't keppele binne oan in sesje-identifikaasje, sadat in sesje mei in begjin en gjin stop in gat is dat jo neame kinne ynstee fan in riedsel.
Keppelje op 'e sesje, net op 'e brûkersnamme
Ien akkount hâldt legitiem ferskate sesjes tagelyk: in laptop, in telefoan, in laboratoariummasjine dy't oernachtich ferbûn litten is. Elk evenemint foar dy brûkersnamme keppelje smeltet trije apparaten yn ien ferhaal en lêst de kombinaasje dan as kompromis. Tawiisde adressen wurde ek recyclet, dus in joint dy't nei it ein fan 'e sesje in adres blyft matskjen, sleept it apparaat fan ferline moanne yn it gefal fan hjoed. Hâld de sesjekaai njonken it adres en behein de oerienkomst ta it tiidfinster dat de sesje echt besloech.
Wêr't oersetting de oarspronklike boarne fuorthellet foardat in tsjinst dy sjocht, brûk de identiteit dy't op dy grins oerbliuwt, lykas in mutual TLS-subjekt of in single sign-on-bewearing. In ien-op-ien-mapping betinke tusken in adres en in persoan is deselde flater mei ekstra stappen.
In warskôging sûnder eigner is in dashboard
Elke regel hat in betingst nedich, de ûnskuldige ferklearrings dy't him produsearje, it bewiis dat sammele wurde moat, en de persoan dy't hannelet. In werhelle wegere administrative operaasje, in útbarsting fan mislearre wachtwurden en in stomme sammeler binne trije ferskillende foarfallen mei trije ferskillende klokken.
Notifikaasje is gjin yndamming, en in distribúsjelist beheint neat. It feroarjen fan in libbene sesje freget it komponint dat dat kin, itsij de gateway dy't de ferbining falle lit, itsij de identiteitsleveransier dy't de sesje weromlûkt. Ferâldere feeds en ûntbrekkende stoprecords hearre ek by de regeltekst, om't in sammeler dy't in dei neat stjoerd hat, fan it dashboard krekt as in stil netwurk liket. It ferskil is allinnich yn 'e pipeline sels te sjen.
Kontrolearje it sammelpaad foardat jo in stille wike fertrouwe
Bewiis de pipeline fan begjin oant ein foardat jo ien regel bystjoere. De kommando's hjirûnder befêstigje dat de autentikaasje- en boekhâldingsharkers oan binne, dat in testbewiis om 'e juste reden wegere wurdt en dat sesje-eveneminten noch oankomme:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
In Access-Reject út 'e test bewiist dat it fersyk de server berikte en dat it dielde geheim oerienkaam, en dat is it diel dat minsken oerslaan. In timeout wiist ynstee op it geheim, de harker of in filter derfoar, en elke warskôging stroomôf is net te ferifiearjen oant dat reparearre is.
De klokstân docht ta, om't korrelaasjefinsters oerienstimming ferûnderstelle. In gateway dy't minuten ôfwikt makket in oars skjinne sesje-joint ûnmooglik lykje, en kontrôleurs kompensearje troch it finster te ferbreedzjen oant de joint ophâldt te ûnderskieden. Kontrolearje de ôfwiking foardat jo de regel bewurkje.
Bring dan ien regel ûnder in ûnskuldige test: generearje in oanmelding fan in ûnferwachte adres, befêstigje dat de warskôging ôfgiet, befêstigje dat de reagearder de sesje en har resource-eveneminten ophelje kin, en befêstigje dat it ticket de sesje-identifikaasje draacht. In regel dy't in gearhingjend ferhaal produsearret, slagget. In regel dy't in heap loglinen produsearret, is noch altyd in dashboard. Registrearje it resultaat njonken de regel, sadat de folgjende kontrôle fan bewiis útgiet en net fan yntuysje.