Бүкіл тіркелгіні өшірмей, VPN-дегі бір құрылғыны бұғаттау

Бір қызметкер, екі ноутбук және олардың тек біреуі ғана қатынасты жоғалтуы керек. Тіркелгіні өшіру — айқын тетік, бірақ ол дұрыс емес ауқымды жазалайды, ал соңғы нүктедегі сақталған профильді жою — бақылау емес, ұсыныс. Шешім үш шартқа келеді: VPN тексере алатын құрылғының жеке басы бар ма, осы нақты қосылым оны шынымен бағалай ма, және адамға емес, құрылғыға не болғанын қалайсыз. Оларға осы ретпен жауап беріңіз, және орындау әдетте өзін өзі таңдайды.

Бірінші шарт: VPN тексере алатын құрылғы дәлелдері бар ма?

Бастапқы мекенжай кеңсе NAT-ының артында ортақ және мобильді желілерде өзгереді. Хост атауы — құрылғы айтқан нәрсе, MAC мекенжайы оңай жасалмаланады, ал тіркеу жазбасының мәнін жергілікті құқығы бар кез келген нәрсе жаза алады. Бұлардың ешқайсысы бірдеңе оны тексермейінше жеке бас болып саналмайды. Бөлек тіркелген құрылғы куәлігі, мысалы сол соңғы нүктеге берілген сертификат, кері қайтаруға пайдаланушы тіркелгісінен тар мақсат беретін жалғыз нұсқа.

Куәлік тек қосылым онымен аутентификацияланып, әр әрекетте тізбекті тексеретін болса ғана есептеледі. Машинаның қоймасында жатқан файл ештеңені дәлелдемейді.

Екінші шарт: осы қосылым оны бағалай ма?

Соңғы нүкте атрибуттары әмбебап емес. ASA-да Cisco-ның ASDM DAP нұсқаулығы пайдаланушының AAA ақпаратын соңғы нүктені бағалау атрибуттарынан бөледі, ал қай атрибуттардың қолжетімді екені пайдаланылатын қашықтан қатынау протоколына, орнатылған posture құралдарына және лицензияға байланысты. Тіркеу жазбасын тексеру үшін қолдау көрсетілетін жинау жолы қажет, тіпті сонда да ол соңғы нүкте құралы көргенін хабарлайды, машина сіз сенетін машина екенін емес.

Сондықтан практикалық сұрақ тар: осы туннельде, осы клиентпен және осы posture агентімен қай атрибут толтырылған және сенімді күйде келеді? Егер жауап ешқайсысы болмаса, оған қарсы жазылған саясат ештеңеге де, бәріне де сәйкес келеді, ал екі нәтиже де сіз аулақ болған тіркелгі құлпынан нашар.

Үшінші шарт: бас тарту, түзету әлде тар қатынас па?

Үш нәтиже бар және олар бірін-бірі алмастырмайды. Сеансты тоқтатуға болады, бұл қатынасты толығымен жояды; құрылғыны карантинге тек түзету ресурстарына жететін күйге қоюға болады; немесе сеансты қалдырып, оның ресурстық ACL-ін сол құрылғыға әлі қажет бірнеше нәрсеге дейін қысқартуға болады. DAP сеанс әрекеттері мен ресурстық ACL-дер әртүрлі сұрақтарға жауап береді, сондықтан таңдау адам қанша жанама залал көтеруі керектігі туралы.

Жоғалған немесе ұрланған ноутбук үшін жауап әдетте тоқтату. Posture тексерісінен өтпеген машина үшін түзету жұмсақырақ және дәл сондай тиімді.

Дәлелдер жоқ кезде не болатынын шешіңіз

Әдепкі жол жақсы жағдай үшін жазылған ережеден маңыздырақ. Егер күтілетін атрибут posture агенті бүлінгендіктен ешқашан келмесе, оны талап ететін саясат сеансты қабылдайтын әдепкіге түсуі мүмкін. Әдепкі нәтижені оқып, дәлел жоқ жағдайды әдейі тексеріңіз, өйткені агентті алып тастаған шабуылдаушы дәл осы күйді көрсетеді.

Сәйкес келетін бірнеше DAP жазбасы қарапайым бірінші сәйкестік ретімен шешілмейді, агрегатталады, ал олардың ACL басымдығы жазба таңдауынан бөлек механизм. Қатаң жазба жеңеді деп есептемес бұрын нұсқаулықтағы агрегаттау сипаттамасын оқыңыз.

Бұрыннан бар сеанстарды өңдеп, содан кейін екі құрылғыны тексеріңіз

Қабылдау ережесін өзгерту немесе куәлікті кері қайтару бұрыннан орнатылған және трафикті өткізіп жатқан сеансқа не болатынын сипаттамайды. Егер дереу жою талап болса, келесі қайта қосылуды күтпей, іске асыру қолдайтын сеансты тоқтату және қайта бағалау рәсімін орындаңыз. Бұл оқиға кезінде ең жиі өткізіп жіберілетін қадам және саясат пен нәтиженің айырмашылығы.

Бекітілген тексеру аясында екі машинада да сол рұқсат етілген пайдаланушымен тексеріңіз. Бұғатталған құрылғы дәл көзделген бас тартуды немесе түзету нәтижесін алуы керек, ал екіншісі тек өзінің рұқсат етілген ресурстарын сақтауы керек. Бұл адамның басқа бекітілген қатынасын кері қайтармай, құрылғы шекарасын тексереді.

Егер осы екі нәтижені әртүрлі ете алмасаңыз, мәселе саясатта емес, дәлелдерде, және ережелерді реттеу оны түзетпейді.