Bloquear un só dispositivo da VPN sen desactivar toda a conta

Un empregado, dous portátiles e só un deles debe perder o acceso. Desactivar a conta é a panca obvia, pero castiga o alcance equivocado, mentres que borrar un perfil gardado no extremo é unha suxestión e non un control. A decisión redúcese a tres condicións: se existe unha identidade de dispositivo que a VPN poida verificar, se esta conexión concreta a avalía de verdade e que quere que ocorra co dispositivo en lugar de coa persoa. Respóndallas nesa orde e a aplicación adoita escollerse soa.

Primeira condición: hai probas do dispositivo que a VPN poida verificar?

Un enderezo de orixe compártese detrás do NAT da oficina e cambia nas redes móbiles. Un nome de host é o que o dispositivo afirma, un enderezo MAC falsifícase trivialmente e un valor do rexistro pode escribilo calquera cousa con dereitos locais. Ningún deles é unha identidade ata que algo o verifica. Unha credencial de dispositivo inscrita por separado, como un certificado emitido para ese extremo, é a única opción que dá á revogación un obxectivo máis estreito que a conta de usuario.

A credencial só conta se a conexión se autentica con ela e valida a cadea en cada intento. Un ficheiro que descansa no almacén da máquina non demostra nada.

Segunda condición: avalíaa esta conexión?

Os atributos do extremo non son universais. Nun ASA, a guía ASDM DAP de Cisco separa a información AAA do usuario dos atributos de avaliación do extremo, e que atributos están dispoñibles depende do protocolo de acceso remoto en uso, das ferramentas de postura despregadas e da licenza. Unha comprobación do rexistro necesita a ruta de recollida admitida e, aínda así, informa do que viu a ferramenta do extremo, non de que a máquina sexa a que vostede confía.

Así que a pregunta práctica é estreita: neste túnel, con este cliente e este axente de postura, que atributo chega poboado e fiable? Se a resposta é ningún, unha política escrita contra el coincidirá con nada ou con todo, e ambos os resultados son peores que o bloqueo de conta que evitaba.

Terceira condición: rexeitamento, remediación ou acceso máis estreito?

Hai tres resultados dispoñibles e non son intercambiables. Pode terminar a sesión, o que elimina o acceso por completo; pode poñer o dispositivo en corentena nun estado no que só acade recursos de remediación; ou pode deixar a sesión aberta e recortar a súa ACL de recursos ás poucas cousas que ese dispositivo aínda necesita. As accións de sesión DAP e as ACL de recursos responden preguntas distintas, así que a escolla trata de canto dano colateral debe absorber a persoa.

Para un portátil perdido ou roubado a resposta adoita ser a terminación. Para unha máquina que non pasou unha comprobación de postura, a remediación é máis amable e igual de eficaz.

Decida que ocorre cando faltan as probas

A ruta por defecto importa máis que a regra que escribiu para o caso bo. Se o atributo esperado nunca chega porque o axente de postura está roto, unha política que o esixe pode caer nun defecto que admite a sesión. Lea o resultado por defecto e probe deliberadamente o caso sen probas, porque ese é o estado que presentará un atacante que elimine o axente.

Varios rexistros DAP coincidentes agrúpanse en lugar de resolverse por unha simple orde de primeira coincidencia, e a súa prioridade de ACL é un mecanismo separado da selección de rexistro. Lea a descrición da agregación na guía antes de supoñer que gaña o rexistro máis estrito.

Xestione as sesións que xa existen e despois probe ambos os dispositivos

Cambiar unha regra de admisión ou revogar unha credencial non describe que ocorre cunha sesión xa establecida que cursa tráfico. Se se esixe a eliminación inmediata, siga o procedemento de terminación e reavaliación de sesión admitido pola implementación en lugar de esperar a seguinte reconexión. Este é o paso que máis a miúdo se omite durante un incidente, e é a diferenza entre unha política e un resultado.

Probe co mesmo usuario permitido nas dúas máquinas baixo unha comprobación aprobada. O dispositivo bloqueado debe recibir exactamente a denegación ou o resultado de remediación previstos, e o outro debe conservar só os seus recursos autorizados. Iso verifica a fronteira do dispositivo sen revogar o outro acceso aprobado da persoa.

Se non consegue que eses dous resultados difiran, o problema son as probas, non a política, e ningún axuste de regras o arranxará.