Router VPN non autorizado: control de admisión antes do descifrado

Un router descoñecido que aparece nun porto de conmutador interno e abre de inmediato unha VPN de saída xa pasou o control que máis importa. A admisión decide se o dispositivo obtén acceso de rede utilizábel, mentres que o descifrado só indica o que fixo despois. Acertar con esa orde converte un problema de inspección imposíbel nunha cuestión rutineira de política de portos. É tamén a diferenza entre unha acción reversíbel e unha caída do servizo.

A admisión decídese no porto

Pregunte como obtivo o dispositivo conectividade utilizábel antes de preguntar que transporta o seu túnel. Un router conectado a un porto de parede activo, ou un cliente sen fíos que se uniu a un SSID aberto, foi admitido pola política que aplique ese porto ou ese SSID. Se esa política é «todo o que se conecta obtén unha VLAN funcional», a VPN é un síntoma e non a vulnerabilidade.

Unha concesión DHCP non é un rexistro de autorización. Recibir un enderezo, ou non recibilo, describe o servizo de asignación de enderezos, non o estado do porto, e moitos deseños deixan que un dispositivo non autenticado chegue a un servidor auxiliar mentres denegan todo o demais. Trate a táboa de concesións como evidencia sobre direccionamento, non sobre confianza.

Nestas investigacións confúndense tres tipos de evidencia: unha persoa aprobada, un dispositivo xestionado aprobado e unha entrada nunha folla de inventario. A política do porto debería ser explícita sobre cales acepta, porque unha credencial roubada e un enderezo MAC clonado satisfán tipos distintos.

Que decide realmente un porto autenticado

Con IEEE 802.1X, o conmutador ou o punto de acceso é o autenticador, e reenvía as credenciais do suplicante a un servizo central como cliente RADIUS. Os atributos RADIUS 802.1X permiten que ese resultado autorice o porto e, segundo o deseño, sitúen a sesión nunha VLAN concreta ou nun contexto de contabilidade concreto. O conmutador aplica o que devolve o servidor de políticas só se o porto está configurado para aplicalo.

É nesa última cláusula onde as implantacións fallan en silencio. Un porto deixado en modo de monitorización ou rexistro anota a decisión que correspondería e segue deixando pasar tráfico, o que en todos os informes parece unha implantación a funcionar ata que alguén conecta un router non xestionado.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Os dispositivos que non poden executar un suplicante precisan unha decisión aparte, non unha excepción xeral. A omisión da autenticación MAC, un portal de rexistro ou unha VLAN dedicada a dispositivos son respostas lexítimas, pero cada unha debe elixirse a propósito e documentarse. Anote que clases de dispositivo poden usar a alternativa e quen as aproba. Unha alternativa sen documentar é exactamente como un router non xestionado acaba cunha VLAN funcional e sen a aprobación de ninguén.

Que pode ver sen descifrar

O cifrado oculta as cargas útiles, non o comportamento. Os enderezos de orixe e destino, os portos, o tempo dos paquetes, o volume do fluxo e a duración da sesión permanecen visibles na fronteira onde os recolle, e eses metadatos adoitan abondar para vincular un dispositivo descoñecido cun porto e un destino de saída. O que non pode ler é a aplicación dentro do túnel, e ningunha captura de paquetes o cambia sen claves.

Un túnel persistente non é automaticamente malicioso. As ligazóns entre sedes, os axentes de copia de seguridade e as ferramentas de administración remota funcionan de forma continua por deseño, así que un fluxo que dura toda a noite non demostra nada por si só. Compáreo co papel asignado a ese activo e coa liña base aprobada para o seu segmento.

Limite a saída a propósito. Permitir un porto de destino non é o mesmo que aprobar a aplicación que o usa, e a conxectura dun clasificador non é unha decisión de autorización. Recolle os metadatos que necesita para a investigación, cun responsable nomeado e unha xanela de retención, en lugar de capturar por defecto todo o tráfico de cada usuario.

Contenlla a través da fronteira que controla

Antes de illar nada, confirme quen é o propietario do dispositivo e onde está conectado. Despois use o proceso de incidentes para restrinxir o porto ou revogar a sesión, preservando os rexistros relevantes mentres a evidencia aínda está fresca. Un porto de conmutador pódese desactivar e volver activar; unha ligazón ascendente de produción que serve corenta mesas non se desfai coa mesma facilidade.

Non contraataque o punto final nin desactive un porto compartido porque unha análise suxeriu un protocolo VPN. Ambas as accións interrompen traballo lexítimo sen mellorar a decisión de admisión que deixou entrar o dispositivo.

A proba de aceptación é concreta: un punto final aprobado segue obtendo o acceso que esixe o seu papel, e un dispositivo non aprobado non pode obter unha ruta equivalente. A monitorización sostén esa fronteira, e non necesita romper o cifrado de ninguén para valer o esforzo.