VPN кіру ескертулері — бұл басып кіру ескертулері емес: сессияны қадағалаңыз
Ерекше кіру — бұл қайта қарауға себеп, үкім емес. Басып кіру деп атамас бұрын, аутентификация жазбасын сессиямен, содан кейін оның неге қол тигізгенімен байланыстырыңыз.
Жаңа елде іске қосылатын VPN ескертуі шешуші болып көрінеді, бірақ әдетте олай емес. Аутентификация әрекеттің қабылданғанын айтады; сессия оны қай байланыс алып жүргенін айтады; ресурс жазбалары сол байланыстың ішінде не болғанын айтады. Әрқайсысы басқа сұраққа жауап береді. Үшеуін біріктіретін ереже дүйсенбіде отыз билет жасайды және жұмада нақты жағдайды өткізіп жібереді.
Шетелдік мекенжай — сұрақ, жауап емес
Саяхат, басқа елде шығатын ұялы операторлар, корпоративтік веб-прокси және қайта бөлінген carrier-grade NAT пулы — барлығы шабуылдаушыны жылжытпай, көрінетін көзді жылжытады. Кіру жазбасы қосылымның желіге қайдан кіргенін көрсетеді, құрылғыны кім ұстағанын емес.
Кері сәтсіздік нашар, өйткені ол тыныш. Пайдаланушының өз қаласынан қолданылған ұрланған құпиясөз география тексеруінде бұрынғы барлық кірулерге сәйкес келетін кіру жасайды.
Географияны үкім деп санаудың өлшенетін құны бар. Саяхаттайтын ноутбуктер үздіксіз қарау ағынын тудырады, тексерушілер оларды оқымай жабуға үйренеді, және бұл әдет нақты іс сол кезекке түскенше сақталады.
Жазбалардың үш түрі үш түрлі сұраққа жауап береді
Орнатылған өнімдер нақты нені шығаратынынан бастаңыз, өнім брошюрасының олар нені шығара алады деген тұспалынан емес. Аутентификация шешімі мәлімделген сәйкестікті, әдісті және нәтижені атайды. Сессияның өмірлік циклі қосылымды, шлюзді және тағайындалған мекенжайды басынан тоқтауға дейін атайды.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Бос ұяшық — жинаудағы олқылық, ақтау емес. Егер ресурс оқиғалары ешқашан келмесе, күдікті оқудың болмауы құбыржолдың хабарлайтын ештеңесі жоқ дегенді білдіреді, ал тыныш тақта желіні емес, құбыржолды сипаттайды. Оларға тәуелді ережені уәде етпес бұрын орнату нақты қандай жазбаларды жасайтынын жазып алыңыз және әрбір жетіспейтін ағынның иесін атаңыз.
Бухгалтерлік мәліметтер — сессиялар тексерілетін болатын орын. RFC 2866 стандартында сипатталған RADIUS есебі сессия идентификаторына байланған бастау, тоқтау және аралық жаңартуларды тасымалдайды, сондықтан бастауы бар, бірақ тоқтауы жоқ сессия — жұмбақ емес, атауға болатын олқылық.
Пайдаланушы атына емес, сессияға қосыңыз
Бір аккаунт заңды түрде бір уақытта бірнеше сессия ұстайды: ноутбук, телефон, түні бойы қосылып қалған зертханалық машина. Сол пайдаланушы атының әрбір оқиғасын біріктіру үш құрылғыны бір хикаяға айналдырады, содан кейін үйлесімді бұзу деп оқиды. Тағайындалған мекенжайлар да қайта өңделеді, сондықтан сессия біткеннен кейін де мекенжайға сәйкес келетін қосылым өткен айдың құрылғысын бүгінгі оқиғаға сүйреп әкеледі. Сессия кілтін мекенжайдың жанында ұстаңыз және сәйкестікті сессия шын мәнінде қамтыған уақыт терезесімен шектеңіз.
Қызмет көрмес бұрын аударма түпнұсқа көзді алып тастайтын жерде, сол шекарада қалатын сәйкестікті пайдаланыңыз, мысалы өзара TLS субъектісі немесе бір реттік кіру мәлімдемесі. Мекенжай мен адам арасында бір-бірден сәйкестікті ойлап табу — қосымша қадамдармен бірдей қате.
Иесіз ескерту — тақта
Әрбір ережеге шарт, оны тудыратын зиянсыз түсініктемелер, жиналуы керек дәлелдер және әрекет ететін адам қажет. Қайталанатын қабылданбаған әкімшілік операция, сәтсіз құпиясөздердің жарылысы және үнсіз жинаушы — үш түрлі сағаты бар үш түрлі оқиға.
Хабарлама — оқшаулау емес, ал тарату тізімі ештеңені шектемейді. Тірі сессияны өзгерту үшін оны жасай алатын компонент керек, ол байланысты тастайтын шлюз болсын немесе сессияны жоятын сәйкестік провайдері болсын. Ескірген ағындар мен жетіспейтін тоқтау жазбалары да ереже мәтініне жатады, өйткені тәулік бойы ештеңе жібермеген жинаушы тақтадан дәл тыныш желіге ұқсайды. Айырмашылық тек құбыржолдың өзінде көрінеді.
Тыныш аптаға сенбес бұрын жинау жолын тексеріңіз
Бір ережені реттемес бұрын құбыржолды басынан аяғына дейін дәлелдеңіз. Төмендегі командалар аутентификация мен есепке алу тыңдаушыларының жұмыс істеп тұрғанын, сынақ тіркелгі деректерінің дұрыс себеппен қабылданбағанын және сессия оқиғаларының әлі де келіп жатқанын растайды:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Сынақтан алынған Access-Reject сұраудың серверге жеткенін және ортақ құпияның сәйкес келгенін дәлелдейді, адамдар дәл осы бөлікті өткізіп жібереді. Оның орнына таймаут құпияға, тыңдаушыға немесе оның алдындағы сүзгіге нұсқайды, және ол түзелмейінше төмендегі әрбір ескерту тексерілмейді.
Сағат күйі маңызды, өйткені корреляция терезелері келісімді болжайды. Бірнеше минутқа ауытқыған шлюз әйтпесе таза сессия қосылымын мүмкін емес көрсетеді, ал тексерушілер терезені кеңейту арқылы өтейді, қосылым ажыратуды тоқтатқанша. Ережені өңдеу алдында ауытқуды тексеріңіз.
Содан кейін бір ережені зиянсыз сынақта іске қосыңыз: күтпеген мекенжайдан кіру жасаңыз, ескертудің іске қосылатынын растаңыз, жауап берушінің сессияны және оның ресурстық оқиғаларын ала алатынын растаңыз және билеттің сессия идентификаторын алып жүретінін растаңыз. Келісімді хикая тудыратын ереже өтеді. Журнал жолдарының үйіндісін тудыратын ереже әлі де тақта. Нәтижені ереженің жанына жазыңыз, келесі қарау интуициядан емес, дәлелден басталсын.