Արգելափակել մեկ սարք VPN-ում՝ չանջատելով ամբողջ հաշիվը

Մեկ աշխատակից, երկու նոթբուք, և դրանցից միայն մեկը պետք է կորցնի մուտքը։ Հաշիվն անջատելը ակնհայտ լծակն է, բայց այն պատժում է սխալ ծավալը, մինչդեռ վերջնակետում պահված պրոֆիլը ջնջելը առաջարկ է, ոչ թե վերահսկողություն։ Որոշումը հանգում է երեք պայմանի՝ կա՞ սարքի ինքնություն, որը VPN-ը կարող է ստուգել, արդյոք այս կոնկրետ կապը իրոք գնահատում է այն, և ինչ եք ուզում, որ պատահի սարքի հետ, այլ ոչ թե մարդու։ Պատասխանեք այդ հերթականությամբ, և կիրառումը սովորաբար ինքն է ընտրվում։

Առաջին պայման. կա՞ սարքի ապացույց, որը VPN-ը կարող է ստուգել։

Աղբյուրի հասցեն կիսվում է գրասենյակի NAT-ի հետևում և փոխվում է բջջային ցանցերում։ Հոսթի անունը այն է, ինչ սարքը պնդում է, MAC հասցեն հեշտությամբ կեղծվում է, և գրանցամատյանի արժեքը կարող է գրել ցանկացած բան, որն ունի տեղական իրավունքներ։ Դրանցից ոչ մեկը ինքնություն չէ, քանի դեռ ինչ-որ բան չի ստուգում այն։ Առանձին գրանցված սարքի վկայականը, օրինակ այդ վերջնակետին տրված սերտիֆիկատը, միակ տարբերակն է, որը չեղարկմանը տալիս է օգտվողի հաշվից ավելի նեղ թիրախ։

Վկայականը հաշվի է առնվում միայն այն դեպքում, երբ կապը նույնականացվում է դրանով և ամեն փորձի ժամանակ վավերացնում է շղթան։ Մեքենայի պահոցում ընկած ֆայլը ոչինչ չի ապացուցում։

Երկրորդ պայման. արդյոք այս կապը գնահատում է այն։

Վերջնակետի ատրիբուտները համընդհանուր չեն։ ASA-ում Cisco-ի ASDM DAP ուղեցույցը առանձնացնում է օգտվողի AAA տեղեկատվությունը վերջնակետի գնահատման ատրիբուտներից, և թե որ ատրիբուտներն են հասանելի, կախված է օգտագործվող հեռահար մուտքի արձանագրությունից, տեղակայված posture գործիքներից և լիցենզիայից։ Գրանցամատյանի ստուգումը պահանջում է աջակցվող հավաքման ուղի, և նույնիսկ այդ դեպքում այն հաղորդում է, թե ինչ տեսավ վերջնակետի գործիքը, ոչ թե այն, որ մեքենան այն է, որին վստահում եք։

Այսպիսով գործնական հարցը նեղ է՝ այս թունելում, այս հաճախորդի և այս posture գործակալի հետ ո՞ր ատրիբուտն է գալիս լցված և վստահելի։ Եթե պատասխանը ոչ մեկն է, դրա դեմ գրված քաղաքականությունը կհամապատասխանի ոչնչի կամ ամեն ինչի, և երկու արդյունքներն էլ ավելի վատն են, քան այն հաշվի կողպումը, որից խուսափում էիք։

Երրորդ պայման. մերժում, վերականգնում, թե ավելի նեղ մուտք։

Հասանելի են երեք արդյունք, և դրանք փոխարինելի չեն։ Կարող եք ավարտել սեանսը, ինչը լիովին հեռացնում է մուտքը. կարող եք սարքը դնել կարանտինի մեջ այնպիսի վիճակում, երբ այն հասնում է միայն վերականգնման ռեսուրսներին. կամ կարող եք թողնել սեանսը և կրճատել դրա ռեսուրսային ACL-ը մինչև այն քիչ բաները, որոնք սարքին դեռ պետք են։ DAP սեանսի գործողությունները և ռեսուրսային ACL-ները պատասխանում են տարբեր հարցերի, ուստի ընտրությունը այն մասին է, թե որքան կողմնակի վնաս պետք է կրի մարդը։

Կորցված կամ գողացված նոթբուքի դեպքում պատասխանը սովորաբար ավարտն է։ Posture ստուգումը ձախողած մեքենայի դեպքում վերականգնումն ավելի մեղմ է և նույնքան արդյունավետ։

Որոշեք, թե ինչ է լինում, երբ ապացույցները բացակայում են

Լռելյայն ուղին ավելի կարևոր է, քան լավ դեպքի համար գրած կանոնը։ Եթե սպասվող ատրիբուտը երբեք չի գալիս, որովհետև posture գործակալը կոտրված է, այն պարտադրող քաղաքականությունը կարող է ընկնել լռելյայնի, որը թույլ է տալիս սեանսը։ Կարդացեք լռելյայն արդյունքը և դիտավորյալ փորձարկեք ապացույցի բացակայության դեպքը, որովհետև հենց այդ վիճակը կներկայացնի գործակալը հեռացնող հարձակվողը։

Համընկնող մի քանի DAP գրառումներ ագրեգացվում են, այլ ոչ թե լուծվում պարզ առաջին-համընկնման կարգով, և դրանց ACL առաջնահերթությունը գրառման ընտրությունից առանձին մեխանիզմ է։ Կարդացեք ուղեցույցի ագրեգացման նկարագրությունը նախքան ենթադրելը, որ ավելի խիստ գրառումն է հաղթում։

Զբաղվեք արդեն գոյություն ունեցող սեանսներով, ապա փորձարկեք երկու սարքերը

Ընդունման կանոնը փոխելը կամ վկայականը չեղարկելը չի նկարագրում, թե ինչ է պատահում արդեն հաստատված և տրաֆիկ անցկացնող սեանսին։ Եթե ակնթարթային հեռացումն է պահանջը, հետևեք իրականացման կողմից աջակցվող սեանսի ավարտի և վերագնահատման ընթացակարգին՝ հաջորդ վերակապակցմանը սպասելու փոխարեն։ Սա այն քայլն է, որն ամենից հաճախ բաց է թողնվում միջադեպի ընթացքում, և դա քաղաքականության ու արդյունքի տարբերությունն է։

Փորձարկեք նույն թույլատրված օգտվողով երկու մեքենաներում հաստատված ստուգման ներքո։ Արգելափակված սարքը պետք է ստանա հենց նախատեսված մերժումը կամ վերականգնման արդյունքը, իսկ մյուսը՝ պահպանի միայն իր լիազորված ռեսուրսները։ Սա ստուգում է սարքի սահմանը՝ չչեղարկելով մարդու մյուս հաստատված մուտքը։

Եթե չեք կարող այդ երկու արդյունքները տարբեր դարձնել, խնդիրը ապացույցների մեջ է, ոչ թե քաղաքականության, և կանոնների ոչ մի կարգավորում այն չի ուղղի։