पूरा खाता बंद किए बिना VPN से एक डिवाइस ब्लॉक करें

एक कर्मचारी, दो लैपटॉप, और उनमें से केवल एक को पहुँच खोनी है। खाता बंद करना स्पष्ट लीवर है, पर यह गलत दायरे को दंडित करता है, जबकि एंडपॉइंट पर सहेजी गई प्रोफ़ाइल हटाना नियंत्रण नहीं, एक सुझाव है। निर्णय तीन शर्तों पर आता है: क्या कोई डिवाइस पहचान मौजूद है जिसे VPN सत्यापित कर सके, क्या यह विशेष कनेक्शन वास्तव में उसका मूल्यांकन करता है, और आप व्यक्ति के बजाय डिवाइस के साथ क्या होना चाहते हैं। इसी क्रम में उत्तर दें और लागू करना आमतौर पर स्वयं चुन लेता है।

पहली शर्त: क्या ऐसे डिवाइस साक्ष्य हैं जिन्हें VPN सत्यापित कर सके?

स्रोत पता कार्यालय NAT के पीछे साझा होता है और मोबाइल नेटवर्क पर बदलता है। होस्टनाम वही है जो डिवाइस दावा करता है, MAC पता आसानी से नकली बनाया जा सकता है, और रजिस्ट्री मान स्थानीय अधिकारों वाला कोई भी लिख सकता है। इनमें से कोई भी पहचान नहीं है जब तक कोई इसे सत्यापित न करे। अलग से नामांकित डिवाइस क्रेडेंशियल, जैसे उस एंडपॉइंट को जारी प्रमाणपत्र, एकमात्र विकल्प है जो रद्दीकरण को उपयोगकर्ता खाते से संकीर्ण लक्ष्य देता है।

क्रेडेंशियल तभी गिना जाता है जब कनेक्शन उससे प्रमाणीकरण करे और हर प्रयास पर श्रृंखला को मान्य करे। मशीन के भंडार में पड़ी फ़ाइल कुछ सिद्ध नहीं करती।

दूसरी शर्त: क्या यह कनेक्शन उसका मूल्यांकन करता है?

एंडपॉइंट विशेषताएँ सार्वभौमिक नहीं हैं। ASA पर Cisco की ASDM DAP मार्गदर्शिका उपयोगकर्ता AAA जानकारी को एंडपॉइंट मूल्यांकन विशेषताओं से अलग करती है, और कौन सी विशेषताएँ उपलब्ध हैं यह प्रयुक्त रिमोट-एक्सेस प्रोटोकॉल, तैनात posture टूलिंग और लाइसेंस पर निर्भर करता है। रजिस्ट्री जाँच को समर्थित संग्रह पथ चाहिए, और तब भी यह बताती है कि एंडपॉइंट टूल ने क्या देखा, यह नहीं कि मशीन वही है जिस पर आप भरोसा करते हैं।

इसलिए व्यावहारिक प्रश्न संकीर्ण है: इस टनल पर, इस क्लाइंट और इस posture एजेंट के साथ, कौन सी विशेषता भरी और भरोसेमंद आती है? यदि उत्तर कोई नहीं है, तो उसके विरुद्ध लिखी नीति कुछ भी मेल नहीं खाएगी या सब कुछ मेल खाएगी, और दोनों परिणाम उस खाता-लॉक से बुरे हैं जिससे आप बच रहे थे।

तीसरी शर्त: अस्वीकृति, उपचार, या संकीर्ण पहुँच?

तीन परिणाम उपलब्ध हैं और वे विनिमेय नहीं हैं। आप सत्र समाप्त कर सकते हैं, जो पहुँच पूरी तरह हटा देता है; आप डिवाइस को क्वारंटीन में ऐसी स्थिति में रख सकते हैं जहाँ वह केवल उपचार संसाधनों तक पहुँचे; या आप सत्र चालू रखकर उसका संसाधन ACL घटाकर उन कुछ चीज़ों तक ला सकते हैं जिनकी उस डिवाइस को अभी भी आवश्यकता है। DAP सत्र क्रियाएँ और संसाधन ACL भिन्न प्रश्नों के उत्तर देते हैं, इसलिए चयन इस बात का है कि व्यक्ति को कितनी सहवर्ती क्षति सहन करनी चाहिए।

खोए या चोरी हुए लैपटॉप के लिए उत्तर आमतौर पर समाप्ति है। posture जाँच में विफल मशीन के लिए उपचार अधिक सौम्य और उतना ही प्रभावी है।

तय करें कि साक्ष्य न होने पर क्या होता है

डिफ़ॉल्ट पथ अच्छे मामले के लिए लिखे नियम से अधिक मायने रखता है। यदि अपेक्षित विशेषता कभी नहीं आती क्योंकि posture एजेंट टूटा है, तो उसे अनिवार्य करने वाली नीति ऐसे डिफ़ॉल्ट पर गिर सकती है जो सत्र को स्वीकार कर लेता है। डिफ़ॉल्ट परिणाम पढ़ें और साक्ष्य-अनुपस्थिति मामले का जानबूझकर परीक्षण करें, क्योंकि एजेंट हटाने वाला हमलावर यही स्थिति प्रस्तुत करेगा।

मेल खाने वाले कई DAP रिकॉर्ड सरल प्रथम-मेल क्रम से हल होने के बजाय एकत्रित किए जाते हैं, और उनकी ACL प्राथमिकता रिकॉर्ड चयन से अलग तंत्र है। कठोर रिकॉर्ड जीतता है यह मानने से पहले मार्गदर्शिका का एकत्रीकरण विवरण पढ़ें।

पहले से मौजूद सत्र संभालें, फिर दोनों डिवाइस का परीक्षण करें

प्रवेश नियम बदलना या क्रेडेंशियल रद्द करना यह नहीं बताता कि पहले से स्थापित और ट्रैफ़िक भेज रहे सत्र के साथ क्या होता है। यदि तत्काल हटाना आवश्यकता है, तो अगले पुनःकनेक्शन की प्रतीक्षा करने के बजाय कार्यान्वयन द्वारा समर्थित सत्र समाप्ति और पुनर्मूल्यांकन प्रक्रिया अपनाएँ। घटना के दौरान यही चरण सबसे अधिक छोड़ा जाता है, और यही नीति और परिणाम के बीच का अंतर है।

स्वीकृत जाँच के अंतर्गत दोनों मशीनों पर उसी अनुमत उपयोगकर्ता के साथ परीक्षण करें। ब्लॉक किए गए डिवाइस को ठीक वही इच्छित अस्वीकृति या उपचार परिणाम मिलना चाहिए, और दूसरे को केवल अपने अधिकृत संसाधन रखने चाहिए। यह व्यक्ति की अन्य स्वीकृत पहुँच रद्द किए बिना डिवाइस सीमा को सत्यापित करता है।

यदि आप उन दोनों परिणामों को भिन्न नहीं बना सकते, तो समस्या नीति में नहीं, साक्ष्य में है, और कोई नियम-ट्यूनिंग उसे ठीक नहीं करेगी।