Рұқсатсыз VPN маршрутизаторы: шифрды шешуге дейінгі қабылдау бақылауы

Ішкі коммутатор портында пайда болып, бірден шығыс VPN ашатын белгісіз маршрутизатор ең маңызды бақылаудан әлдеқашан өткен. Қабылдау құрылғының жалпы пайдалануға жарамды желілік рұқсат алатынын шешеді, ал шифрды шешу оның кейін не істегенін ғана айтады. Бұл ретті дұрыс сақтау мүмкін емес тексеру мәселесін күнделікті порт саясатының сұрағына айналдырады. Бұл сондай-ақ қайтарылатын әрекет пен үзілістің айырмашылығы.

Қабылдау портта шешіледі

Туннельдің не тасымалдайтынын сұрамас бұрын құрылғының пайдалануға жарамды байланысты қалай алғанын сұраңыз. Белсенді қабырға портына қосылған маршрутизатор немесе ашық SSID-ге қосылған сымсыз клиент сол порт немесе SSID қолданатын саясатпен қабылданды. Егер бұл саясат «қосылғанның бәрі жұмыс істейтін VLAN алады» дегенді білдірсе, VPN — белгі, ал осалдық емес.

DHCP жалдауы — авторизация жазбасы емес. Мекенжай алу немесе алмау мекенжай бөлу қызметін сипаттайды, порттың күйін емес, және көптеген жобалар аутентификацияланбаған құрылғыға көмекші қызметке жетуге рұқсат беріп, қалғанының бәрін қабылдамайды. Жалдау кестесін мекенжайлау туралы дәлел ретінде қараңыз, сенім туралы емес.

Бұл тергеулерде үш түрлі дәлел шатасады: бекітілген адам, бекітілген басқарылатын құрылғы және түгендеу парағындағы жазба. Порт саясаты олардың қайсысын қабылдайтынын анық айтуы керек, өйткені ұрланған тіркелгі деректері мен клондалған MAC мекенжайы әртүрлі шарттарды қанағаттандырады.

Аутентификацияланған порт шын мәнінде нені шешеді

IEEE 802.1X кезінде коммутатор немесе кіру нүктесі аутентификатор болып табылады және өтініш берушінің тіркелгі деректерін RADIUS клиенті ретінде орталық қызметке жеткізеді. RADIUS 802.1X атрибуттары осы нәтижеге портты авторизациялауға және жобаға байланысты сессияны белгілі бір VLAN-ға немесе белгілі бір есеп контекстіне орналастыруға мүмкіндік береді. Коммутатор саясат сервері қайтарғанды тек порт оны орындауға конфигурацияланған жағдайда ғана орындайды.

Дәл осы соңғы тармақта енгізулер үнсіз сәтсіздікке ұшырайды. Бақылау немесе журнал режимінде қалдырылған порт болжамды шешімді жазып, трафикті бәрібір өткізеді, бұл әр есепте жұмыс істеп тұрған енгізу сияқты көрінеді, бірақ біреу басқарылмайтын маршрутизаторды қосқанша.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Өтініш берушіні іске қоса алмайтын құрылғыларға жалпы ерекшелік емес, жеке шешім қажет. MAC аутентификациясын айналып өту, тіркеу порталы немесе құрылғыларға арналған жеке VLAN — бәрі заңды жауаптар, бірақ әрқайсысын әдейі таңдап, құжаттау керек. Қай құрылғы сыныптары қосалқы жолды пайдалана алатынын және оларды кім бекітетінін жазыңыз. Құжатталмаған қосалқы жол — басқарылмайтын маршрутизатордың ешкімнің бекітуінсіз жұмыс істейтін VLAN алуының дәл жолы.

Шифрды шешпей нені көруге болады

Шифрлау пайдалы жүктемені жасырады, мінез-құлықты емес. Бастау және межелік мекенжайлар, порттар, пакеттер уақыты, ағын көлемі және сессия ұзақтығы оларды жинайтын шекарада көрінеді, және бұл метадеректер белгісіз құрылғыны портпен және шығыс межелікпен байланыстыруға жиі жетеді. Оқи алмайтыныңыз — туннель ішіндегі қолданба, және кілттерсіз ешбір пакетті ұстау мұны өзгертпейді.

Тұрақты туннель өздігінен зиянды емес. Сайттар арасындағы байланыстар, резервтік көшіру агенттері және қашықтан басқару құралдары жоба бойынша үздіксіз жұмыс істейді, сондықтан түні бойы жалғасатын ағын өзіндік ештеңені дәлелдемейді. Оны сол активке тағайындалған рөлмен және оның сегменті үшін бекітілген базалық сызықпен салыстырыңыз.

Шығыс трафигін әдейі шектеңіз. Межелік портқа рұқсат беру оны пайдаланатын қолданбаны бекітумен бірдей емес, және жіктеушінің болжамы авторизация шешімі емес. Тергеуге қажет метадеректерді аталған иесімен және сақтау терезесімен жинаңыз, әр пайдаланушының бүкіл трафигін әдепкі бойынша түсірудің орнына.

Өзіңіз бақылайтын шекара арқылы оқшаулаңыз

Бірдеңені оқшауламас бұрын құрылғы кімдікі және қайда қосылғанын растаңыз. Содан кейін оқиға процесін пайдаланып портты шектеңіз немесе сессияны кері қайтарыңыз, дәлелдер әлі жаңа кезінде тиісті журналдарды сақтаңыз. Коммутатор портын өшіріп, қайта қосуға болады; қырық жұмыс үстеліне қызмет көрсететін өндірістік жоғары байланысты оңайлықпен кері қайтаруға болмайды.

Соңғы нүктеге қарсы шабуыл жасамаңыз және скан VPN протоколын меңзегендіктен ортақ портты өшірмеңіз. Екі әрекет те заңды жұмысты тоқтатады, ал құрылғыны әуел бастан өткізген қабылдау шешімін жақсартпайды.

Қабылдау сынағы нақты: бекітілген соңғы нүкте өз рөліне қажет рұқсатты әлі де алады, ал бекітілмеген құрылғы тең жолды ала алмайды. Мониторинг осы шекараны қолдайды және біреудің шифрын бұзбай-ақ күш салуға тұрарлық.