חסימת התקן אחד מה-VPN בלי להשבית את כל החשבון

עובד אחד, שני מחשבים ניידים, ורק אחד מהם חייב לאבד גישה. השבתת החשבון היא המנוף הברור אבל היא מענישה את ההיקף הלא נכון, בעוד מחיקת פרופיל שמור בקצה היא הצעה ולא בקרה. ההחלטה מצטמצמת לשלושה תנאים: האם קיימת זהות התקן שה-VPN יכול לאמת, האם החיבור המסוים הזה באמת מעריך אותה, ומה אתם רוצים שיקרה להתקן ולא לאדם. ענו עליהם בסדר הזה, והאכיפה בדרך כלל בוחרת את עצמה.

תנאי ראשון: האם יש ראיות התקן שה-VPN יכול לאמת?

כתובת מקור משותפת מאחורי NAT של המשרד ומשתנה ברשתות סלולריות. שם מארח הוא מה שההתקן טוען, כתובת MAC מזויפת בקלות, וערך רישום יכול להיכתב על ידי כל דבר עם הרשאות מקומיות. אף אחד מאלה אינו זהות עד שמשהו מאמת אותו. אישור התקן שנרשם בנפרד, כמו תעודה שהונפקה לאותו קצה, הוא האפשרות היחידה שנותנת לביטול יעד צר יותר מחשבון המשתמש.

האישור נחשב רק אם החיבור מאמת את עצמו בו ומאמת את השרשרת בכל ניסיון. קובץ שנמצא במאגר של המחשב לא מוכיח דבר.

תנאי שני: האם החיבור הזה מעריך אותו?

מאפייני קצה אינם אוניברסליים. ב-ASA, מדריך ASDM DAP של Cisco מפריד בין מידע AAA של המשתמש לבין מאפייני הערכת קצה, ואילו מאפיינים זמינים תלוי בפרוטוקול הגישה מרחוק שבו משתמשים, בכלי ה-posture שנפרסו וברשיון. בדיקת רישום זקוקה לנתיב האיסוף הנתמך, וגם אז היא מדווחת מה הכלי בקצה ראה, לא שהמחשב הוא זה שאתם סומכים עליו.

אז השאלה המעשית צרה: במנהרה הזו, עם הלקוח הזה וסוכן ה-posture הזה, איזה מאפיין מגיע מלא ואמין? אם התשובה היא אף אחד, מדיניות שנכתבה נגדו תתאים לשום דבר או להכול, ושתי התוצאות גרועות מנעילת החשבון שנמנעתם ממנה.

תנאי שלישי: דחייה, תיקון או גישה צרה יותר?

שלוש תוצאות זמינות והן אינן ניתנות להחלפה. אפשר לסיים את החיבור, מה שמסיר גישה לחלוטין; אפשר להכניס את ההתקן להסגר במצב שבו הוא מגיע רק למשאבי תיקון; או שאפשר להשאיר את החיבור ולקצץ את ACL המשאבים שלו לכמה דברים שההתקן עדיין צריך. פעולות חיבור DAP ו-ACL של משאבים עונות על שאלות שונות, ולכן הבחירה היא בכמה נזק לוואי האדם צריך לשאת.

במחשב נייד שאבד או נגנב התשובה היא בדרך כלל סיום. במחשב שנכשל בבדיקת posture, תיקון הוא עדין יותר ויעיל באותה מידה.

החליטו מה קורה כשראיות חסרות

נתיב ברירת המחדל חשוב יותר מהכלל שכתבתם למקרה הטוב. אם המאפיין המצופה לא מגיע לעולם מפני שסוכן ה-posture שבור, מדיניות שדורשת אותו עלולה ליפול לברירת מחדל שמקבלת את החיבור. קראו את תוצאת ברירת המחדל ובדקו בכוונה את מקרה היעדר הראיות, מפני שזה המצב שתוקף שמסיר את הסוכן יציג.

רשומות DAP מרובות שמתאימות נצברות ולא נפתרות לפי סדר התאמה ראשונה פשוט, ועדיפות ה-ACL שלהן היא מנגנון נפרד מבחירת הרשומה. קראו את תיאור הצבירה במדריך לפני שאתם מניחים שהרשומה המחמירה יותר מנצחת.

טפלו בחיבורים שכבר קיימים, ואז בדקו את שני ההתקנים

שינוי כלל קבלה או ביטול אישור לא מתאר מה קורה לחיבור שכבר הוקם ומעביר תעבורה. אם הסרה מיידית היא הדרישה, פעלו לפי הליך סיום החיבור וההערכה מחדש הנתמך ביישום במקום להמתין לחיבור מחדש הבא. זה השלב שמוזנח לרוב בזמן תקרית, וזה ההבדל בין מדיניות לתוצאה.

בדקו עם אותו משתמש מורשה בשני המחשבים תחת בדיקה מאושרת. ההתקן החסום צריך לקבל בדיוק את הדחייה או תוצאת התיקון המיועדות, והשני צריך לשמור רק על המשאבים המאושרים שלו. זה מאמת את גבול ההתקן בלי לבטל גישה מאושרת אחרת של האדם.

אם אינכם מצליחים להבדיל בין שתי התוצאות, הבעיה היא בראיות ולא במדיניות, וכוונון כללים לא יתקן אותה.