VPN մուտքի ծանուցումները ներխուժման ծանուցումներ չեն՝ հետևեք նստաշրջանին
Անսովոր մուտքը վերանայման առիթ է, ոչ դատավճիռ։ Ներխուժում անվանելուց առաջ նույնականացման գրառումը կապեք նստաշրջանի, ապա այն բանի հետ, ինչին այն դիպել է։
Նոր երկրի վրա գործարկվող VPN ծանուցումը որոշիչ է թվում, և սովորաբար այդպիսին չէ։ Նույնականացումն ասում է, որ փորձն ընդունվել է, նստաշրջանն ասում է, թե որ կապն է այն տարել, իսկ ռեսուրսների գրառումները՝ թե ինչ է կատարվել այդ կապի ներսում։ Յուրաքանչյուրը պատասխանում է տարբեր հարցի։ Բոլոր երեքը միավորող կանոնը երկուշաբթի օրը երեսուն տոմս է ստեղծում և ուրբաթ օրը բաց թողնում իրական դեպքը։
Արտասահմանյան հասցեն հարց է, ոչ պատասխան
Ճամփորդությունը, այլ երկրում ելք ունեցող բջջային օպերատորները, կորպորատիվ վեբ փոխանցիչը և վերաբաշխված carrier-grade NAT լողավազանը բոլորը տեղափոխում են երևացող աղբյուրը՝ չտեղափոխելով հարձակվողին։ Մուտքի գրառումն արտացոլում է, թե որտեղից կապը մտավ ցանց, ոչ թե ով էր պահում սարքը։
Հակառակ ձախողումն ավելի վատ է, որովհետև լուռ է։ Օգտատիրոջ սեփական քաղաքից օգտագործված գողացված գաղտնաբառը ստեղծում է մուտք, որը համընկնում է բոլոր նախորդ մուտքերի հետ աշխարհագրության ստուգման ժամանակ։
Աշխարհագրությունը որպես դատավճիռ ընդունելը չափելի գին ունի։ Ճամփորդող նոթբուքերը վերանայումների կայուն հոսք են առաջացնում, վերանայողները սովորում են փակել դրանք առանց կարդալու, և սովորությունը պահպանվում է այնքան ժամանակ, քանի դեռ իրական դեպքը չի հասնում նույն հերթին։
Երեք տեսակի գրառումներ պատասխանում են երեք տարբեր հարցերի
Սկսեք այն բանից, ինչ տեղակայված արտադրանքներն իրականում թողարկում են, ոչ թե այն բանից, ինչ ապրանքային գրքույկն է հուշում, թե նրանք կարող են թողարկել։ Նույնականացման որոշումը նշում է պահանջված ինքնությունը, մեթոդը և արդյունքը։ Նստաշրջանի կենսացիկլը նշում է կապը, դարպասը և հատկացված հասցեն՝ սկզբից մինչև կանգառ։
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Դատարկ վանդակը հավաքման բաց է, ոչ արդարացում։ Եթե ռեսուրսների իրադարձությունները երբեք չեն գալիս, կասկածելի ընթերցման բացակայությունը նշանակում է, որ խողովակաշարը ոչինչ չունի հաղորդելու, և լուռ վահանակը նկարագրում է խողովակաշարը, ոչ ցանցը։ Գրեք, թե տեղակայումն իրականում որ գրառումներն է արտադրում, նախքան դրանցից կախված կանոն խոստանալը, և անվանեք յուրաքանչյուր բացակայող հոսքի տիրոջը։
Հաշվառման մանրամասները այն տեղն են, որտեղ նստաշրջանները դառնում են ստուգելի։ RFC 2866-ում նկարագրված RADIUS հաշվառումը կրում է մեկնարկի, կանգառի և միջանկյալ թարմացումներ՝ կապված նստաշրջանի նույնացուցիչի հետ, ուստի մեկնարկ ունեցող և կանգառ չունեցող նստաշրջանը բաց է, որին կարող եք անուն տալ՝ առեղծվածի փոխարեն։
Միացրեք ըստ նստաշրջանի, ոչ ըստ օգտանվան
Մեկ հաշիվն օրինականորեն միաժամանակ պահում է մի քանի նստաշրջան՝ նոթբուք, հեռախոս, գիշերը միացված թողնված լաբորատոր մեքենա։ Այդ օգտանվան բոլոր իրադարձությունները միացնելը երեք սարք միաձուլում է մեկ պատմության մեջ և այնուհետև կարդում համակցությունը որպես փոխզիջում։ Հատկացված հասցեները նույնպես վերամշակվում են, ուստի նստաշրջանի ավարտից հետո հասցեի հետ շարունակ համընկնող միացումը նախորդ ամսվա սարքը քաշում է այսօրվա միջադեպի մեջ։ Պահեք նստաշրջանի բանալին հասցեի կողքին և սահմանափակեք համընկնումն այն ժամանակային պատուհանով, որն իրականում ծածկել է նստաշրջանը։
Այնտեղ, որտեղ թարգմանությունը հեռացնում է բնօրինակ աղբյուրը նախքան ծառայության տեսնելը, օգտագործեք այն ինքնությունը, որը պահպանվում է այդ սահմանում, օրինակ՝ փոխադարձ TLS սուբյեկտ կամ միասնական մուտքի հայտարարություն։ Հասցեի և անձի միջև մեկը մեկին համապատասխանություն հորինելը նույն սխալն է լրացուցիչ քայլերով։
Առանց տիրոջ ծանուցումը վահանակ է
Յուրաքանչյուր կանոն պահանջում է պայման, այն առաջացնող անվնաս բացատրություններ, հավաքվելիք ապացույցներ և գործող անձ։ Կրկնվող մերժված վարչական գործողությունը, անհաջող գաղտնաբառերի պոռթկումը և լուռ հավաքիչը երեք տարբեր միջադեպեր են՝ երեք տարբեր ժամացույցներով։
Ծանուցումը զսպում չէ, և բաշխման ցանկը ոչինչ չի սահմանափակում։ Կենդանի նստաշրջանը փոխելու համար պահանջվում է այն բաղադրիչը, որն ի վիճակի է դա անել՝ լինի դա դարպասը, որը գցում է կապը, թե ինքնության մատակարարը, որը չեղարկում է նստաշրջանը։ Հնացած հոսքերը և բացակայող կանգառի գրառումները նույնպես պատկանում են կանոնի տեքստին, որովհետև մեկ օր ոչինչ չուղարկած հավաքիչը վահանակից ճիշտ լուռ ցանցի տեսք ունի։ Տարբերությունը երևում է միայն խողովակաշարում։
Ստուգեք հավաքման ուղին նախքան լուռ շաբաթին վստահելը
Ապացուցեք խողովակաշարը սկզբից մինչև վերջ նախքան մեկ կանոն կարգավորելը։ Ստորև բերված հրամանները հաստատում են, որ նույնականացման և հաշվառման լսիչները աշխատում են, որ փորձնական հավատարմագիրը մերժվում է ճիշտ պատճառով, և որ նստաշրջանի իրադարձությունները դեռ գալիս են։
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Փորձարկումից ստացված Access-Reject-ը ապացուցում է, որ հարցումը հասել է սերվերին և ընդհանուր գաղտնիքը համընկել է, և հենց այդ մասն են մարդիկ բաց թողնում։ Ժամկետի սպառումը փոխարենը մատնանշում է գաղտնիքը, լսիչը կամ դրա դիմացի զտիչը, և ներքևի յուրաքանչյուր ծանուցում անստուգելի է, քանի դեռ դա չի ուղղվել։
Ժամացույցի վիճակը կարևոր է, որովհետև հարաբերման պատուհանները ենթադրում են համաձայնություն։ Մի քանի րոպե շեղված դարպասը մաքուր նստաշրջանային միացումը դարձնում է անհնարին թվացող, և վերանայողները փոխհատուցում են պատուհանը լայնացնելով, մինչև միացումը դադարում է տարբերակել։ Ստուգեք շեղումը նախքան կանոնը խմբագրելը։
Այնուհետև մեկ կանոն անցկացրեք անվնաս փորձարկման միջով՝ ստեղծեք մուտք անսպասելի հասցեից, հաստատեք, որ ծանուցումը գործարկվում է, հաստատեք, որ արձագանքողը կարող է քաշել նստաշրջանն ու դրա ռեսուրսների իրադարձությունները, և հաստատեք, որ տոմսը կրում է նստաշրջանի նույնացուցիչը։ Համահունչ պատմություն արտադրող կանոնն անցնում է։ Մի կույտ մատյանի տողեր արտադրող կանոնը դեռ վահանակ է։ Գրանցեք արդյունքը կանոնի կողքին, որպեսզի հաջորդ վերանայումը սկսվի ապացույցից, ոչ ինտուիցիայից։