Óviðkomandi VPN-beinir: aðgangsstýring fyrir afkóðun

Óþekktur beinir sem birtist á innra rofaporti og opnar útleiðandi VPN undir eins hefur þegar farið fram hjá þeirri stýringu sem mestu skiptir. Aðgangur ræður því hvort tækið fái yfirhöfuð nothæfan netaðgang, en afkóðun segir aðeins hvað það gerði eftir á. Rétt röð gerir ómögulegt skoðunarvandamál að venjulegri spurningu um portastefnu. Það er líka munurinn á afturkræfri aðgerð og þjónusturofi.

Aðgangur er ákveðinn á portinu

Spyrðu hvernig tækið fékk nothæfa tengingu áður en þú spyrð hvað göngin þess flytja. Beinir sem er tengdur við virkt veggport, eða þráðlaust biðlaraforrit sem gekk í opið SSID, var hleypt inn af þeirri stefnu sem það port eða SSID beitir. Ef stefnan er „allt sem er sett í fær virkt VLAN“ er VPN einkenni en ekki veikleikinn.

DHCP-leiga er ekki heimildarskrá. Að fá vistfang, eða að fá það ekki, lýsir vistfangsþjónustunni, ekki ástandi portsins, og margar hannanir leyfa óstaðfestu tæki að ná í hjálparþjónustu á meðan öllu öðru er hafnað. Líttu á leigutöfluna sem sönnun um vistfangsnotkun, ekki um traust.

Þrjár tegundir sönnunargagna blandast í þessum rannsóknum: samþykkt manneskja, samþykkt stýrt tæki og færsla á birgðablaði. Portastefnan ætti að vera skýr um hverra hún samþykkir, því stolið skírteini og klónað MAC-vistfang uppfylla mismunandi skilyrði.

Hvað staðfest port ákveður í raun

Með IEEE 802.1X er rofinn eða aðgangspunkturinn auðkennisveitandinn, og hann sendir skírteini biðilsins á miðlæga þjónustu sem RADIUS-biðlara. RADIUS 802.1X-eiginleikarnir leyfa þeirri niðurstöðu að heimila portið og, eftir hönnun, setja lotuna í tiltekið VLAN eða tiltekið bókhaldssamhengi. Rofinn framfylgir aðeins því sem stefnuþjónninn skilar ef portið er stillt til að framfylgja því.

Það er í þessum síðasta lið sem uppsetningar mistakast hljóðlega. Port sem er látið vera í eftirlits- eða skráningaham skráir fyrirhugaða ákvörðun og hleypir samt umferð í gegn, sem í hverri skýrslu lítur út eins og virk uppsetning þar til einhver setur óstýrðan beini í.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Tæki sem geta ekki keyrt biðil þurfa sérstaka ákvörðun, ekki almenna undantekningu. Framhjáhlaup á MAC-auðkenningu, skráningargátt eða sérhannað VLAN fyrir tæki eru öll lögmæt svör, en hvert þeirra verður að velja viljandi og skjalfesta. Skrifaðu niður hvaða tækjaflokkar mega nota varaleiðina og hver samþykkir þá. Óskjalfest varaleið er einmitt hvernig óstýrður beinir fær virkt VLAN án samþykkis nokkurs manns.

Hvað þú getur séð án afkóðunar

Dulkóðun felur farminn, ekki hegðunina. Upprunis- og áfangavistföng, port, tímasetning pakka, flæðismagn og lotulengd haldast sýnileg á þeim mörkum þar sem þú safnar þeim, og þau lýsigögn duga oft til að tengja ókunnugt tæki við port og útleiðaráfangastað. Það sem þú getur ekki lesið er forritið inni í göngunum, og engin pakkaskráning breytir því án lykla.

Viðvarandi göng eru ekki sjálfkrafa illgjarn. Tengingar milli staða, öryggisafritunarefni og fjartengd stjórntæki keyra samfellt að hönnun, svo flæði sem varir alla nótt sannar ekkert eitt og sér. Berðu það saman við hlutverkið sem eigninni er úthlutað og við samþykkta grunnlínu fyrir netbút hennar.

Afmarkaðu útleiðina viljandi. Að leyfa áfangaport er ekki það sama og að samþykkja forritið sem notar það, og ágiskun flokkunar er ekki heimildarákvörðun. Safnaðu þeim lýsigögnum sem þú þarft fyrir rannsóknina, með nafngreindum eiganda og geymsluvindu, í stað þess að grípa sjálfgefið allt umferð hvers notanda.

Haltu inni gegnum mörkin sem þú stýrir

Áður en þú einangrar eitthvað skaltu staðfesta hver á tækið og hvar það er tengt. Notaðu svo atviksferlið til að takmarka portið eða afturkalla lotuna, og varðveittu viðeigandi annála meðan sönnunargögnin eru enn fersk. Hægt er að slökkva á rofaporti og kveikja á því aftur; ekki er jafn auðvelt að afturkalla framleiðslutengingu sem þjónar fjörutíu skrifborðum.

Gerðu ekki gagnsókn á endapunktinn og slökktu ekki á sameiginlegu porti bara vegna þess að skönnun benti til VPN-samskiptareglu. Báðar aðgerðir trufla lögmæta vinnu án þess að bæta aðgangsákvörðunina sem hleypti tækinu inn í fyrsta lagi.

Samþykktarprófið er áþreifanlegt: samþykktur endapunktur fær enn aðganginn sem hlutverk hans krefst, og ósamþykkt tæki getur ekki fengið jafngilda leið. Eftirlit styður þessi mörk, og það þarf ekki að brjóta dulkóðun neins til að vera fyrirhöfninni virði.