Չարտոնված VPN երթուղիչ՝ ընդունման վերահսկում մինչև ապակոդավորումը

Անհայտ երթուղիչը, որը հայտնվում է ներքին կոմուտատորի պորտի վրա և անմիջապես բացում է ելքային VPN, արդեն անցել է ամենակարևոր վերահսկողությունը։ Ընդունումը որոշում է՝ արդյոք սարքը ընդհանրապես կստանա օգտագործելի ցանցային հասանելիություն, մինչդեռ ապակոդավորումը միայն ասում է, թե ինչ արեց այն հետո։ Այդ հերթականությունը ճիշտ պահելը անհնար ստուգման խնդիրը վերածում է սովորական պորտային քաղաքականության հարցի։ Սա նաև տարբերությունն է շրջելի գործողության և խափանման միջև։

Ընդունումը որոշվում է պորտի վրա

Հարցրեք, թե ինչպես սարքը ստացավ օգտագործելի կապ, նախքան կհարցնեք, թե ինչ է տեղափոխում նրա թունելը։ Պատին ամրացված ակտիվ պորտին միացված երթուղիչը կամ բաց SSID-ին միացած անլար սպասարկողը ընդունվել է այն քաղաքականությամբ, որը կիրառում է այդ պորտը կամ SSID-ն։ Եթե այդ քաղաքականությունն է «ամեն ինչ, որ միացվում է, ստանում է աշխատող VLAN», ապա VPN-ը ախտանիշ է, ոչ թե խոցելիությունը։

DHCP վարձակալությունը լիազորման գրառում չէ։ Հասցե ստանալը կամ չստանալը նկարագրում է հասցեների տրամադրման ծառայությունը, ոչ թե պորտի վիճակը, և շատ նախագծեր թույլ են տալիս չնույնականացված սարքին հասնել օժանդակ ծառայության՝ միաժամանակ մերժելով մնացած ամեն ինչ։ Վարձակալությունների աղյուսակը դիտեք որպես հասցեավորման ապացույց, ոչ թե վստահության։

Այս հետաքննություններում խառնվում են երեք տեսակի ապացույցներ՝ հաստատված անձ, հաստատված կառավարվող սարք և գրառում գույքագրման թերթիկում։ Պորտի քաղաքականությունը պետք է հստակ ասի, թե դրանցից որոնք է այն ընդունում, քանի որ գողացված հավատարմագրով և կլոնավորված MAC հասցեով բավարարվում են տարբեր պայմաններ։

Ինչ է իրականում որոշում նույնականացված պորտը

IEEE 802.1X-ի դեպքում կոմուտատորը կամ մուտքի կետը նույնականացնողն է, և այն դիմողի հավատարմագրերը փոխանցում է կենտրոնական ծառայությանը՝ որպես RADIUS սպասարկող։ RADIUS 802.1X ատրիբուտները թույլ են տալիս այդ արդյունքին լիազորել պորտը և, կախված նախագծից, նստաշրջանը տեղադրել որոշակի VLAN-ում կամ հաշվառման որոշակի համատեքստում։ Կոմուտատորը կիրառում է այն, ինչ վերադարձնում է քաղաքականության սերվերը, միայն եթե պորտը կարգավորված է դա կիրառելու։

Հենց այս վերջին դրույթում են տեղաբաշխումները լուռ ձախողվում։ Մոնիտորինգի կամ գրանցման ռեժիմում թողնված պորտը գրանցում է ենթադրյալ որոշումը և միևնույն է բաց թողնում երթևեկությունը, ինչը յուրաքանչյուր զեկույցում կարծես աշխատող տեղաբաշխում լինի, մինչև ինչ-որ մեկը միացնի չկառավարվող երթուղիչ։

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Այն սարքերը, որոնք չեն կարող գործարկել դիմող, պահանջում են առանձին որոշում, ոչ թե ընդհանուր բացառություն։ MAC նույնականացման շրջանցումը, գրանցման պորտալը կամ սարքերի համար նախատեսված առանձին VLAN-ը բոլորը օրինական պատասխաններ են, սակայն յուրաքանչյուրը պետք է ընտրվի գիտակցաբար և փաստաթղթավորվի։ Գրեք, թե սարքերի որ դասերն իրավունք ունեն օգտվել պահուստային ուղուց և ով է հաստատում դրանք։ Չփաստաթղթավորված պահուստային ուղին հենց այն է, ինչով չկառավարվող երթուղիչը ստանում է աշխատող VLAN առանց որևէ մեկի հաստատման։

Ինչ կարելի է տեսնել առանց ապակոդավորման

Կոդավորումը թաքցնում է բեռը, ոչ թե վարքը։ Աղբյուրի և նպատակակետի հասցեները, պորտերը, փաթեթների ժամանակացույցը, հոսքի ծավալը և նստաշրջանի տևողությունը մնում են տեսանելի այն սահմանին, որտեղ դուք հավաքում եք դրանք, և այդ մետատվյալները հաճախ բավական են անծանոթ սարքը պորտի և ելքային նպատակակետի հետ կապելու համար։ Այն, ինչ չեք կարող կարդալ, թունելի ներսում գտնվող հավելվածն է, և առանց բանալիների ոչ մի փաթեթի գրավում դա չի փոխում։

Մշտական թունելն ինքնաբերաբար չարամիտ չէ։ Կայքերի միջև կապերը, պահուստային գործակալները և հեռակառավարման գործիքները աշխատում են անընդհատ ըստ նախագծի, ուստի ամբողջ գիշեր տևող հոսքն ինքնին ոչինչ չի ապացուցում։ Համեմատեք այն այդ ակտիվին հատկացված դերի և իր հատվածի համար հաստատված բազային գծի հետ։

Սահմանափակեք ելքը նպատակամղված։ Նպատակային պորտ թույլատրելը նույնը չէ, ինչ այն օգտագործող հավելվածը հաստատելը, և դասակարգչի ենթադրությունը լիազորման որոշում չէ։ Հավաքեք հետաքննության համար անհրաժեշտ մետատվյալները՝ նշված սեփականատիրոջ և պահպանման ժամկետի հետ միասին, փոխարենը լռելյայն գրավելու յուրաքանչյուր օգտատիրոջ ամբողջ երթևեկությունը։

Զսպեք ձեր վերահսկած սահմանի միջոցով

Նախքան ինչ-որ բան մեկուսացնելը, հաստատեք, թե ումն է սարքը և որտեղ է միացված։ Այնուհետև միջադեպի գործընթացով սահմանափակեք պորտը կամ չեղարկեք նստաշրջանը՝ պահպանելով համապատասխան մատյանները, քանի դեռ ապացույցները թարմ են։ Կոմուտատորի պորտը կարելի է անջատել և նորից միացնել; արտադրական վերին կապը, որը սպասարկում է քառասուն աշխատասեղան, այդքան հեշտությամբ հետ չի շրջվում։

Մի՛ հակահարձակվեք վերջնակետի վրա և մի՛ անջատեք ընդհանուր պորտը միայն այն պատճառով, որ սկանավորումը VPN արձանագրություն է հուշել։ Երկու գործողություններն էլ ընդհատում են օրինական աշխատանքը՝ չբարելավելով այն ընդունման որոշումը, որը սարքին ընդհանրապես ներս թույլ տվեց։

Ընդունման թեստը կոնկրետ է. հաստատված վերջնակետը դեռ ստանում է իր դերին անհրաժեշտ հասանելիությունը, և չհաստատված սարքը չի կարող համարժեք ուղի ստանալ։ Մոնիտորինգը պաշտպանում է այդ սահմանը, և այն ստիպված չէ կոտրել որևէ մեկի կոդավորումը, որպեսզի արժանի լինի ջանքին։