અનધિકૃત VPN રાઉટર: ડિક્રિપ્શન પહેલાં એડમિશન નિયંત્રણ

આંતરિક સ્વિચ પોર્ટ પર દેખાઈને તરત જ આઉટબાઉન્ડ VPN ખોલતું અજાણ્યું રાઉટર પહેલેથી જ સૌથી મહત્ત્વનું નિયંત્રણ પાર કરી ગયું છે. એડમિશન નક્કી કરે છે કે ઉપકરણને વાપરી શકાય એવી નેટવર્ક ઍક્સેસ મળશે કે નહીં, જ્યારે ડિક્રિપ્શન ફક્ત એ કહે છે કે ત્યારપછી તેણે શું કર્યું. આ ક્રમ સાચો રાખવાથી અશક્ય તપાસની સમસ્યા રૂટિન પોર્ટ-નીતિના પ્રશ્નમાં ફેરવાય છે. તે પાછું ફેરવી શકાય એવા પગલા અને આઉટેજ વચ્ચેનો ફરક પણ છે.

એડમિશન પોર્ટ પર જ નક્કી થાય છે

ટનલ શું વહન કરે છે એ પૂછતાં પહેલાં પૂછો કે ઉપકરણને વાપરી શકાય એવું જોડાણ કેવી રીતે મળ્યું. સક્રિય વૉલ પોર્ટ સાથે જોડાયેલું રાઉટર, અથવા ખુલ્લા SSID સાથે જોડાયેલું વાયરલેસ ક્લાયન્ટ, તે પોર્ટ કે SSID લાગુ કરે એવી નીતિ દ્વારા જ એડમિટ થયું છે. જો એ નીતિ "જે પણ જોડાય તેને કાર્યક્ષમ VLAN મળે" એવી હોય, તો VPN લક્ષણ છે, નબળાઈ નહીં.

DHCP લીઝ એ અધિકૃતિનો રેકોર્ડ નથી. સરનામું મળવું કે ન મળવું એ સરનામાં-ફાળવણી સેવાનું વર્ણન કરે છે, પોર્ટની સ્થિતિનું નહીં, અને ઘણી રચનાઓ અનધિકૃત ઉપકરણને સહાયક સેવા સુધી પહોંચવા દે છે જ્યારે બાકીનું બધું નકારે છે. લીઝ કોષ્ટકને સરનામાંકન વિશેના પુરાવા તરીકે લો, વિશ્વાસ વિશેના નહીં.

આ તપાસોમાં ત્રણ પ્રકારના પુરાવા ભેગા થઈ જાય છે: મંજૂર વ્યક્તિ, મંજૂર સંચાલિત ઉપકરણ અને ઇન્વેન્ટરી શીટ પરની નોંધ. પોર્ટ નીતિએ સ્પષ્ટ હોવું જોઈએ કે તે આમાંથી કયા સ્વીકારે છે, કારણ કે ચોરાયેલી ઓળખવિગત અને ક્લોન કરેલું MAC સરનામું જુદાં જુદાં શરતો પૂરી કરે છે.

પ્રમાણિત પોર્ટ ખરેખર શું નક્કી કરે છે

IEEE 802.1X સાથે, સ્વિચ કે ઍક્સેસ પોઇન્ટ પ્રમાણકર્તા છે, અને તે અરજદારની ઓળખવિગતો RADIUS ક્લાયન્ટ તરીકે કેન્દ્રીય સેવાને મોકલે છે. RADIUS 802.1X લક્ષણો એ પરિણામને પોર્ટ અધિકૃત કરવા દે છે અને, રચના પ્રમાણે, સત્રને ચોક્કસ VLAN કે ચોક્કસ હિસાબી સંદર્ભમાં મૂકે છે. સ્વિચ નીતિ સર્વર જે પરત કરે છે તે ફક્ત ત્યારે જ લાગુ કરે છે જ્યારે પોર્ટ તે લાગુ કરવા માટે ગોઠવાયેલો હોય.

આ છેલ્લી કલમમાં જ ડિપ્લોયમેન્ટ શાંતિથી નિષ્ફળ જાય છે. મોનિટર કે લોગિંગ મોડમાં છોડેલો પોર્ટ સંભવિત નિર્ણય નોંધે છે અને તોપણ ટ્રાફિક પસાર કરે છે, જે દરેક રિપોર્ટમાં કાર્યક્ષમ ડિપ્લોયમેન્ટ જેવું લાગે છે—જ્યાં સુધી કોઈ અસંચાલિત રાઉટર જોડે નહીં.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

જે ઉપકરણો અરજદાર ચલાવી શકતાં નથી તેમને અલગ નિર્ણય જોઈએ, સામાન્ય અપવાદ નહીં. MAC પ્રમાણીકરણ બાયપાસ, નોંધણી પોર્ટલ કે સમર્પિત ઉપકરણ-VLAN—બધા કાયદેસર જવાબો છે, પણ દરેક સભાનપણે પસંદ કરવો અને દસ્તાવેજીકૃત કરવો પડે. લખો કે કયા ઉપકરણ વર્ગો વૈકલ્પિક માર્ગ વાપરી શકે અને કોણ તેમને મંજૂર કરે છે. અદસ્તાવેજીકૃત વૈકલ્પિક માર્ગ એ જ રીતે અસંચાલિત રાઉટરને કોઈની મંજૂરી વગર કાર્યક્ષમ VLAN મળી જાય છે.

ડિક્રિપ્શન વગર શું જોઈ શકાય

એન્ક્રિપ્શન પેલોડ છુપાવે છે, વર્તન નહીં. સ્રોત અને લક્ષ્ય સરનામાં, પોર્ટ, પેકેટનો સમય, પ્રવાહનું પ્રમાણ અને સત્રનો સમયગાળો જ્યાં તમે તેમને એકત્ર કરો છો તે સીમા પર દૃશ્યમાન રહે છે, અને એ મેટાડેટા ઘણી વાર અજાણ્યા ઉપકરણને પોર્ટ અને આઉટબાઉન્ડ લક્ષ્ય સાથે જોડવા પૂરતા હોય છે. તમે વાંચી શકતા નથી તે ટનલની અંદરની એપ્લિકેશન છે, અને ચાવીઓ વગર કોઈ પેકેટ કૅપ્ચર તેને બદલતું નથી.

સ્થાયી ટનલ આપોઆપ દુર્ભાવનાપૂર્ણ નથી. સાઇટ-થી-સાઇટ લિંક, બૅકઅપ એજન્ટ અને દૂરસ્થ વ્યવસ્થાપન સાધનો રચના પ્રમાણે સતત ચાલે છે, તેથી આખી રાત ચાલતો પ્રવાહ પોતે કંઈ સાબિત કરતો નથી. તેની સરખામણી એ સંપત્તિને સોંપાયેલી ભૂમિકા અને તેના સેગમેન્ટ માટેની મંજૂર બેઝલાઇન સાથે કરો.

આઉટગોઇંગ ટ્રાફિક સભાનપણે મર્યાદિત કરો. લક્ષ્ય પોર્ટની મંજૂરી આપવી અને તેનો ઉપયોગ કરતી એપ્લિકેશનને મંજૂર કરવી એક નથી, અને વર્ગીકરણકર્તાનું અનુમાન મંજૂરીનો નિર્ણય નથી. તપાસ માટે જરૂરી મેટાડેટા નામાંકિત માલિક અને સંગ્રહ સમયગાળા સાથે એકત્ર કરો, દરેક વપરાશકર્તાનો આખો ટ્રાફિક ડિફૉલ્ટ રીતે કૅપ્ચર કરવાને બદલે.

તમે નિયંત્રિત કરો છો તે સીમા દ્વારા સમાવો

કંઈપણ અલગ કરતાં પહેલાં પુષ્ટિ કરો કે ઉપકરણ કોનું છે અને ક્યાં જોડાયેલું છે. પછી ઘટના પ્રક્રિયા વાપરીને પોર્ટ મર્યાદિત કરો કે સત્ર રદ કરો, પુરાવા હજી તાજા હોય ત્યારે સંબંધિત લોગ સાચવો. સ્વિચ પોર્ટ બંધ કરી ફરી ચાલુ કરી શકાય; ચાલીસ ડેસ્ક પર સેવા આપતો પ્રોડક્શન અપલિંક એટલી સરળતાથી પાછો ન ફેરવાય.

એન્ડપૉઇન્ટ પર પ્રતિ-હુમલો ન કરો અને ફક્ત એટલા માટે શેર થયેલો પોર્ટ બંધ ન કરો કે સ્કેનમાં VPN પ્રોટોકૉલનો સંકેત મળ્યો. બંને ક્રિયાઓ કાયદેસર કામમાં ખલેલ પાડે છે, છતાં જે એડમિશન નિર્ણયે ઉપકરણને અંદર આવવા દીધું તેને સુધારતી નથી.

સ્વીકૃતિની કસોટી સ્પષ્ટ છે: મંજૂર એન્ડપૉઇન્ટને તેની ભૂમિકાની જરૂરી ઍક્સેસ હજી મળે છે, અને અનધિકૃત ઉપકરણ સમાન માર્ગ મેળવી શકતું નથી. મોનિટરિંગ એ સીમાને ટેકો આપે છે, અને કોઈનું એન્ક્રિપ્શન તોડ્યા વગર પણ તે મહેનતને લાયક છે.