נתב VPN לא מורשה: בקרת כניסה לפני פענוח

נתב לא מוכר שמופיע על פורט מתג פנימי ומיד פותח VPN יוצא כבר עבר את הבקרה החשובה ביותר. הכניסה קובעת אם ההתקן יקבל בכלל גישה שמישה לרשת, בעוד הפענוח רק מספר מה הוא עשה לאחר מכן. סדר נכון הופך בעיית בדיקה בלתי אפשרית לשאלה שגרתית של מדיניות פורטים. זה גם ההבדל בין פעולה הפיכה לבין השבתה.

הכניסה נקבעת בפורט

שאלו כיצד השיג ההתקן קישוריות שמישה לפני שתשאלו מה נושא המנהרה שלו. נתב המחובר לפורט קיר פעיל, או לקוח אלחוטי שהצטרף ל-SSID פתוח, התקבל לפי המדיניות שהפורט או ה-SSID הזה מיישם. אם המדיניות היא "כל מה שמתחבר מקבל VLAN עובד", ה-VPN הוא תסמין ולא החולשה.

חכירת DHCP אינה רשומת הרשאה. קבלת כתובת, או אי-קבלתה, מתארת את שירות הקצאת הכתובות ולא את מצב הפורט, והרבה עיצובים מאפשרים להתקן לא מאומת להגיע לשירות עזר תוך שלילת כל השאר. התייחסו לטבלת החכירות כראיה לכתוב, לא לאמון.

בחקירות האלה מתערבבים שלושה סוגי ראיות: אדם מאושר, התקן מנוהל מאושר ורשומה בגיליון מלאי. מדיניות הפורט צריכה לומר במפורש אילו מהם היא מקבלת, כי פרטי התחברות גנובים וכתובת MAC משוכפלת עומדים בתנאים שונים.

מה פורט מאומת באמת קובע

ב-IEEE 802.1X, המתג או נקודת הגישה הוא המאמת, והוא מעביר את פרטי המבקש לשירות מרכזי כלקוח RADIUS. מאפייני RADIUS 802.1X מאפשרים לתוצאה הזו להרשות את הפורט, ובהתאם לעיצוב, למקם את הפגישה ב-VLAN מסוים או בהקשר חשבונאי מסוים. המתג אוכף את מה ששירות המדיניות מחזיר רק אם הפורט מוגדר לאכוף זאת.

בסעיף האחרון הזה פריסות נכשלות בשקט. פורט שהושאר במצב ניטור או רישום רושם את ההחלטה המתבקשת ומעביר תעבורה בכל זאת, מה שנראה בכל דוח כפריסה עובדת עד שמישהו מחבר נתב לא מנוהל.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

התקנים שאינם יכולים להריץ מבקש זקוקים להחלטה נפרדת, לא לחריגה גורפת. עקיפת אימות MAC, פורטל רישום או VLAN ייעודי להתקנים הם כולם תשובות לגיטימיות, אבל כל אחד מהם חייב להיבחר במכוון ולתועד. כתבו אילו סוגי התקנים רשאים להשתמש במסלול החלופי ומי מאשר אותם. מסלול חלופי לא מתועד הוא בדיוק הדרך שבה נתב לא מנוהל מקבל VLAN עובד בלי אישור של איש.

מה אפשר לראות בלי לפענח

הצפנה מסתירה מטענים, לא התנהגות. כתובות מקור ויעד, פורטים, תזמון חבילות, נפח זרימה ומשך פגישה נשארים גלויים בגבול שבו אתם אוספים אותם, ולעתים קרובות די במטא-נתונים האלה כדי לקשר התקן לא מוכר לפורט וליעד יוצא. את מה שאי אפשר לקרוא הוא היישום שבתוך המנהרה, ואין שום לכידת חבילות שמשנה זאת בלי מפתחות.

מנהרה מתמשכת אינה זדונית אוטומטית. קישורים בין אתרים, סוכני גיבוי וכלי ניהול מרחוק פועלים ברציפות מעצם התכנון, כך שזרימה שנמשכת כל הלילה אינה מוכיחה דבר בעצמה. השוו אותה לתפקיד שהוקצה לנכס הזה ולקו הבסיס המאושר של המקטע שלו.

הגבילו יציאה במכוון. התרה של פורט יעד אינה אותו דבר כמו אישור היישום שמשתמש בו, וניחוש של מסווג אינו החלטת הרשאה. אספו את המטא-נתונים הדרושים לחקירה, עם בעלים נקוב וחלון שמירה, במקום ללכוד כברירת מחדל את כל התעבורה של כל משתמש.

הכילו דרך הגבול שאתם שולטים בו

לפני שאתם מבודדים משהו, אשרו מי הבעלים של ההתקן והיכן הוא מחובר. אחר כך השתמשו בתהליך האירוע כדי להגביל את הפורט או לבטל את הפגישה, ושמרו את הלוגים הרלוונטיים בזמן שהראיות עוד טריות. אפשר להשבית פורט מתג ולהפעיל אותו מחדש; קישור עליון בייצור שמשרת ארבעים שולחנות לא מתבטל באותה קלות.

אל תגיבו בהתקפת נגד על נקודת הקצה ואל תשבתו פורט משותף רק מפני שסריקה רמזה על פרוטוקול VPN. שתי הפעולות מפריעות לעבודה לגיטימית בלי לשפר את החלטת הכניסה שהכניסה את ההתקן מלכתחילה.

מבחן הקבלה קונקרטי: נקודת קצה מאושרת עדיין מקבלת את הגישה שהתפקיד שלה דורש, והתקן לא מאושר אינו יכול להשיג נתיב שקול. הניטור תומך בגבול הזה, והוא לא צריך לשבור את ההצפנה של איש כדי להיות שווה את המאמץ.