არაავტორიზებული VPN როუტერი: დაშვების კონტროლი გაშიფვრამდე

უცნობი როუტერი, რომელიც შიდა კომუტატორის პორტზე ჩნდება და მაშინვე გამავალ VPN-ს ხსნის, უკვე გაიარა ყველაზე მნიშვნელოვანი კონტროლი. დაშვება წყვეტს, მიიღებს თუ არა მოწყობილობა საერთოდ გამოსაყენებელ ქსელურ წვდომას, ხოლო გაშიფვრა მხოლოდ ამბობს, რა გააკეთა მან შემდეგ. ამ თანმიმდევრობის სწორად დაცვა შეუძლებელ შემოწმების პრობლემას ჩვეულებრივ პორტის პოლიტიკის საკითხად აქცევს. ეს ასევე განსხვავებაა შექცევად ქმედებასა და შეფერხებას შორის.

დაშვება პორტზე წყდება

იკითხეთ, როგორ მიიღო მოწყობილობამ გამოსაყენებელი კავშირი, სანამ იკითხავთ, რას გადააქვს მისი გვირაბი. კედლის აქტიურ პორტზე მიერთებული როუტერი ან ღია SSID-ზე მიერთებული უსადენო კლიენტი დაშვებულია იმ პოლიტიკით, რომელსაც ეს პორტი ან SSID იყენებს. თუ ეს პოლიტიკაა „ყველაფერი, რაც ჩაერთვება, იღებს მომუშავე VLAN-ს“, მაშინ VPN სიმპტომია და არა მოწყვლადობა.

DHCP-ის იჯარა ავტორიზაციის ჩანაწერი არ არის. მისამართის მიღება ან მიუღებლობა აღწერს მისამართების განაწილების სერვისს და არა პორტის მდგომარეობას, და ბევრი გადაწყვეტა საშუალებას აძლევს აუთენტიფიცირებელ მოწყობილობას მიაღწიოს დამხმარე სერვისს, ხოლო დანარჩენ ყველაფერს უკრძალავს. იჯარის ცხრილს მოეპყარით როგორც მისამართების შესახებ მტკიცებულებას და არა ნდობის შესახებ.

ამ გამოძიებებში სამი სახის მტკიცებულება ერევა ერთმანეთს: დამტკიცებული პირი, დამტკიცებული მართული მოწყობილობა და ჩანაწერი ინვენტარის ფურცელზე. პორტის პოლიტიკამ ნათლად უნდა თქვას, რომელი მათგანი მიიღება, რადგან მოპარული სერტიფიკატი და კლონირებული MAC მისამართი სხვადასხვას აკმაყოფილებს.

რას წყვეტს სინამდვილეში აუთენტიფიცირებული პორტი

IEEE 802.1X-ის დროს კომუტატორი ან წვდომის წერტილი აუთენტიფიკატორია და მომთხოვნის სერტიფიკატს RADIUS კლიენტის როლში ცენტრალურ სერვისს გადასცემს. RADIUS 802.1X ატრიბუტები საშუალებას აძლევს ამ შედეგს პორტი ავტორიზაცია მოახდინოს და, დიზაინიდან გამომდინარე, სესია კონკრეტულ VLAN-ში ან კონკრეტულ აღრიცხვის კონტექსტში მოათავსოს. კომუტატორი აღასრულებს იმას, რასაც პოლიტიკის სერვერი აბრუნებს, მხოლოდ მაშინ, თუ პორტი ამის აღსრულებისთვის არის კონფიგურირებული.

სწორედ ამ ბოლო პუნქტში ხდება განლაგებების ჩუმი წარუმატებლობა. მონიტორინგის ან ლოგირების რეჟიმში დატოვებული პორტი აღნიშნავს სავარაუდო გადაწყვეტილებას და მაინც უშვებს ტრაფიკს, რაც ყველა ანგარიშში მომუშავე განლაგებად გამოიყურება, სანამ ვინმე უმართავ როუტერს ჩართავს.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

მოწყობილობებს, რომლებსაც არ შეუძლიათ მომთხოვნის გაშვება, ცალკე გადაწყვეტილება სჭირდებათ და არა საერთო გამონაკლისი. MAC აუთენტიფიკაციის გვერდის ავლა, რეგისტრაციის პორტალი ან მოწყობილობებისთვის გამოყოფილი VLAN ყველა ლეგიტიმური პასუხია, თუმცა თითოეული განზრახ უნდა შეირჩეს და დაფიქსირდეს. ჩაწერეთ, მოწყობილობების რომელ კლასებს შეუძლიათ სარეზერვო გზის გამოყენება და ვინ ამტკიცებს მათ. დაუფიქსირებელი სარეზერვო გზა ზუსტად ის გზაა, რომლითაც უმართავი როუტერი ვინმეს დამტკიცების გარეშე მომუშავე VLAN-ს იღებს.

რა შეიძლება დაინახოთ გაშიფვრის გარეშე

დაშიფვრა მალავს დატვირთვას და არა ქცევას. წყაროსა და დანიშნულების მისამართები, პორტები, პაკეტების დრო, ნაკადის მოცულობა და სესიის ხანგრძლივობა რჩება ხილული იმ საზღვარზე, სადაც მათ აგროვებთ, და ეს მეტამონაცემები ხშირად საკმარისია უცნობი მოწყობილობის პორტთან და გამავალ დანიშნულებასთან დასაკავშირებლად. რისი წაკითხვაც არ შეგიძლიათ, არის გვირაბის შიგნით არსებული აპლიკაცია, და გასაღებების გარეშე პაკეტების ვერც ერთი დაჭერა ამას არ ცვლის.

მუდმივი გვირაბი ავტომატურად არ არის მავნე. საიტებს შორის კავშირები, სარეზერვო აგენტები და დისტანციური მართვის ხელსაწყოები დიზაინით უწყვეტად მუშაობენ, ამიტომ მთელი ღამე გრძელვადიანი ნაკადი თავისთავად არაფერს ამტკიცებს. შეადარეთ იგი ამ აქტივზე დაკისრებულ როლს და მისი სეგმენტისთვის დამტკიცებულ საბაზისო ხაზს.

შეზღუდეთ გამავალი ტრაფიკი განზრახ. დანიშნულების პორტის დაშვება არ არის იგივე, რაც მისი გამომყენებელი აპლიკაციის დამტკიცება, და კლასიფიკატორის ვარაუდი ავტორიზაციის გადაწყვეტილება არ არის. შეაგროვეთ გამოძიებისთვის საჭირო მეტამონაცემები დასახელებული მფლობელითა და შენახვის ვადით, ნაცვლად იმისა, რომ ნაგულისხმევად ყოველი მომხმარებლის მთელი ტრაფიკი ჩაიწეროს.

შეიკავეთ იმ საზღვრის საშუალებით, რომელსაც აკონტროლებთ

სანამ რაიმეს იზოლირებთ, დაადასტურეთ, ვის ეკუთვნის მოწყობილობა და სად არის მიერთებული. შემდეგ ინციდენტის პროცესით შეზღუდეთ პორტი ან გააუქმეთ სესია, შეინახეთ შესაბამისი ჟურნალები, სანამ მტკიცებულებები ჯერ კიდევ ახალია. კომუტატორის პორტი შეიძლება გამოირთოს და ხელახლა ჩაირთოს; ორმოცი მაგიდის მომსახურე საწარმოო აღმავალი კავშირი ასე მარტივად არ უქმდება.

ნუ უპასუხებთ კონტრშეტევით საბოლოო წერტილს და ნუ გამორთავთ საერთო პორტს მხოლოდ იმიტომ, რომ სკანირებამ VPN პროტოკოლი მიანიშნა. ორივე ქმედება წყვეტს ლეგიტიმურ სამუშაოს და არ აუმჯობესებს იმ დაშვების გადაწყვეტილებას, რომელმაც მოწყობილობა საერთოდ შემოუშვა.

მიღების ტესტი კონკრეტულია: დამტკიცებული საბოლოო წერტილი კვლავ იღებს როლისთვის საჭირო წვდომას, ხოლო დაუმტკიცებელი მოწყობილობა ექვივალენტურ გზას ვერ იღებს. მონიტორინგი მხარს უჭერს ამ საზღვარს და არ სჭირდება ვინმეს დაშიფვრის გატეხვა, რომ ძალისხმევად ღირდეს.