Ní chuireann seiceáil staide an VPN bac ar an rochtain? Lean an tuarascáil ar dtús
Tuairiscíonn gníomhaire do chríochphointe go bhfuil gach rud sláintiúil, ach osclaíonn an aip inmheánach fós. Siúil an bailitheoir, an breithiúnas agus an bac, ansin cruthaigh an diúltú le hiarratas amháin.
Má tá ríomhaire glúine ar stop a shíntiúis frithvíris ag nuashonrú seachtainí ó shin fós in ann d’aip inmheánach a oscailt, is annamh gurb é an doiciméad beartais an rud atá mícheart. Ní mór do thrí chóras ar leith a bheith ar aon intinn sula ndiúltaítear don rochtain: tomhaiseann rud éigin an chríochphointe, athraíonn rud éigin an tomhas sin ina bhreithiúnas ceadaigh nó diúltaigh, agus scaoileann rud éigin an trácht i ndáiríre. Nuair a thagann gléas neamhchomhréireach isteach mar sin féin, tá ceann amháin de na naisc sin as láthair go beacht nó tá sé ag brath ar fhianaise nár cheart. Téann na seiceálacha thíos san ord sin, agus tá stadphointe ag gach ceann acu.
Is é an bac an chéim dheireanach, ní an chéad cheann
Freagraíonn fíordheimhniú agus staid an ghléis ceisteanna éagsúla. Cruthaíonn logáil isteach rathúil gur cuireadh dintiúir i láthair; ní deir sé aon rud faoin mbogearra atá ag rith ar an meaisín a chuir i láthair é. Is é an bhearna sin an chúis ar féidir le próifíl chliaint chóipeáilte seisiún atá sláintiúil ó thaobh cuma a iompar go dtí óstach neamhshláintiúil.
Tá stór focal ag obair chomhréireachta an chríochphointe don slabhra seo cheana féin. Roinneann múnla tagartha NEA i RFC 5209 an obair ina bailitheoir, ina chéim mheasúnaithe agus ina phointe forfheidhmithe, agus deir sé go soiléir go bhfuil cliant a insíonn bréag faoina staid féin lasmuigh den mhúnla. Is tábhachtaí an cáiliú sin ná an léaráid: ní dhéanann modúl ardáin iontaofa tomhas féintuairiscithe ina fhíric.
Coinnigh an bailitheoir macánta faoin scóip. Ba cheart dó na tréithe a ainmníonn do bheartas a thuairisciú, ar an ngléas atá ag iarraidh rochtana, agus beagán eile. Is uirlis dhifriúil é gníomhaire fardail a liostaíonn gach pacáiste suiteáilte ná bailitheoir staide, agus is fadhb choinneála agus fadhb chruinnis araon an difríocht. Mura féidir an tuarascáil a cheangal le haitheantas amháin gléis, tá an measúnóir ag buille faoi thuairim cén meaisín a ghlac sé ceadaithe díreach.
Ní rialú é deais a thaispeánann staid dhearg. Fiafraigh cad is féidir le húsáideoir diúltaithe a bhaint amach fós: an vicí, an chomhroinnt comhad, calafort an bhunachair shonraí? Teastaíonn aon dromchla caol amháin ón leigheas, agus baineann gach rud eile le bheith taobh thiar den bhac.
Léigh an tuarascáil sula léann tú an riail
Tosaigh ag an bhfoinse seachas ag tic ghlas an chliaint. Ar Windows tagann an tomhas áitiúil ó Defender nó ón táirge ar bith a chláraigh é féin le Security Center, agus is féidir an dá rud a léamh gan consól soláthraí:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateFilleann an dara ordú slánuimhir darb ainm productState. Tá a ghiotáin doiciméadaithe go scaoilte agus pacáiltear na bratacha cumasaithe agus cothrom-le-dáta ar bhealaí éagsúla, mar sin dearbhaigh é seachas é a pharsáil. Fágann seiteanna tríú páirtí an iontráil Security Center ina diaidh tar éis díshuiteála, agus tuairiscíonn sí sin ar bhogearra nach bhfuil ar an diosca a thuilleadh.
Is é an aois an réimse a scipeann daoine. Ní chiallaíonn stampa ama síniú aon rud ach amháin i gcomparáid le clog an mheaisín atá ag déanamh an mheasúnaithe, mar sin tiontaigh ina eatramh é seachas é a mheas le súil:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursAnois tá uimhir amháin le léamh ag an mbeartas. Má deir do riail 72 uair an chloig, is í sin an uimhir a úsáideann sí, agus teipeann ar ríomhaire glúine a chodlaíonn seachtain gan duine ar bith lipéad a léirmhíniú. Taifead an tairseach in aice an ordaithe, mar imíonn an dá rud ó chéile nuair a athchuirtear uirlis an chríochphointe.
Tiontaigh gach staid ghléis ina breithiúnas scríofa
Is díospóireachtaí faoin ró neamhaitheanta i ndáiríre formhór na ndíospóireachtaí faoin staid. Déan cinneadh air roimh an gcéad eachtra, i dtábla a ainmníonn an fhianaise, an breithiúnas agus an t-úinéir, ionas nach ndéanfaidh aon duine rud éigin as a stuaim féin ag consól an gheata.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Is sa ró íochtarach a bhíonn na táirgí éagsúil. Diúltaíonn roinnt geataí don nasc agus míníonn siad cén fáth; scaoileann daoine eile an tollán suas agus cuireann siad beartas srianta i bhfeidhm; tagann roinnt bheag ar ais chuig an tuarascáil mhaith dheireanach is eol. Ní féidir ach an chéad dá cheann a chosaint, agus is fiú a thástáil cé acu a dhéanann do cheannsa.
Coinnigh féiniúlacht agus cead ina lánaí féin freisin. Teastaíonn an t-údarú daonna ceart don fheidhmchlár fós ó ríomhaire glúine a théann trí gach tástáil staide, agus cruthaíonn deimhniú gléis seilbh ar eochair seachas staid an chórais chomhaid. Is é deireadh a chur leis an triúr in aon luach Boole amháin mar a éiríonn le cuntas deasc-chúnaimh rochtain bhuan ar an táirgeadh.
Seiceáil an cosán forfheidhmithe le hiarratas, ní le deais
Is airí ar iarratas é forfheidhmiú, mar sin tomhais le ceann é. Cuir meaisín neamhchomhréireach ar an tollán agus déan an glao a dhéanfadh fíor-úsáideoir:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthCiallaíonn 200 ó ghléas ar cheart bac a chur air nár shroich an cinneadh cosán na sonraí riamh. Dhá chúis choitianta: tá an beartas ceangailte le grúpa nár tháinig an cuntas tástála isteach ann riamh, nó tá an feidhmchlár inrochtana ar ró nach bhfuil ag an VPN.
Seiceáil an toimhde ródaithe ar dtús. Má réitíonn an t-ainm inmheánach chuig seoladh a shroicheann an cliant cheana féin thar an LAN áitiúil, tá an tollán gan bhaint agus ní chuirfear aon bheartas i bhfeidhm. Cuir an seoladh sin i gcomparáid leis an ró a bhrúnn an geata. Ar OpenVPN, maireann beartas in aghaidh an chliaint i gcomhaid atá eochraithe de réir an ainm choitinn, mar sin is furasta é a iniúchadh:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17Díscónaíonn comhad ina bhfuil disable an cliant sin go hiomlán, agus cúngaíonn líne push "route ..." a bhféadfadh sé a bhaint amach. Is forfheidhmiú an dá rud, agus tá an dá rud le feiceáil ag aon duine atá ag dífhabhtú na tuarascála.
Tástáil na ceithre chás ar aon chuntas tástála amháin
Is maitrís bheag é an tseiceáil deiridh, ní cosán sona. Tiomáin cuntas tástála amháin trí cheithre staid: reatha, síniú as feidhm, cosaint díchumasaithe, gníomhaire gan suiteáil. I ngach cás, taifead an breithiúnas sa logáil mheasúnaithe, an stádas HTTP a fhilleann an aip, agus ar lódáil an leathanach leigheas.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Tá dhá shonraí éasca le caillteanas. Ar dtús an athsheinm: ní cheart glacadh le tuarascáil a gabhadh nuair a bhí an meaisín sláintiúil do sheisiún níos déanaí ar an ngléas céanna, mar sin féach ar stampa ama atá ceangailte leis an nasc reatha. Ansin an bhaint: ba cheart díshuiteáil an ghníomhaire an diúltú céanna a tháirgeadh agus a tháirgeann tuarascáil shean, ní pas glan, agus is é sin an cás is minice nár tástáladh riamh.
Nuair a réitíonn an mhaitrís leis an tábla, tabhair trí rud do dhuine ar bith a reáchtálann an geata ina dhiaidh sin: na horduithe, an tairseach agus na ceithre thoradh agus iad ag súil leo. Is é an aistriú sin an tseachadadh fíor, mar imíonn dearadh staide nach maireann ach i ndoiciméad beartais an chéad uair a athraíonn uirlis an chríochphointe a réimse tuairiscithe.