ಅನಧಿಕೃತ VPN ರೌಟರ್: ಡೀಕ್ರಿಪ್ಷನ್ ಮೊದಲು ಪ್ರವೇಶ ನಿಯಂತ್ರಣ

ಆಂತರಿಕ ಸ್ವಿಚ್ ಪೋರ್ಟ್ನಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡು ತಕ್ಷಣ ಹೊರಹೋಗುವ VPN ತೆರೆಯುವ ಅಪರಿಚಿತ ರೌಟರ್ ಈಗಾಗಲೇ ಅತ್ಯಂತ ಮುಖ್ಯವಾದ ನಿಯಂತ್ರಣವನ್ನು ದಾಟಿದೆ. ಪ್ರವೇಶವು ಸಾಧನಕ್ಕೆ ಬಳಸಬಹುದಾದ ನೆಟ್ವರ್ಕ್ ಪ್ರವೇಶ ಸಿಗುತ್ತದೆಯೇ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ, ಆದರೆ ಡೀಕ್ರಿಪ್ಷನ್ ನಂತರ ಅದು ಏನು ಮಾಡಿತು ಎಂಬುದನ್ನು ಮಾತ್ರ ಹೇಳುತ್ತದೆ. ಈ ಕ್ರಮವನ್ನು ಸರಿಯಾಗಿ ಇಟ್ಟುಕೊಂಡರೆ ಅಸಾಧ್ಯವಾದ ತಪಾಸಣೆ ಸಮಸ್ಯೆ ಸಾಮಾನ್ಯ ಪೋರ್ಟ್ ನೀತಿಯ ಪ್ರಶ್ನೆಯಾಗುತ್ತದೆ. ಇದು ಹಿಂಪಡೆಯಬಹುದಾದ ಕ್ರಮ ಮತ್ತು ಸೇವಾ ಅಡಚಣೆಯ ನಡುವಿನ ವ್ಯತ್ಯಾಸವೂ ಆಗಿದೆ.

ಪ್ರವೇಶವು ಪೋರ್ಟ್ನಲ್ಲೇ ನಿರ್ಧಾರವಾಗುತ್ತದೆ

ಟನೆಲ್ ಏನನ್ನು ಸಾಗಿಸುತ್ತದೆ ಎಂದು ಕೇಳುವ ಮೊದಲು ಸಾಧನಕ್ಕೆ ಬಳಸಬಹುದಾದ ಸಂಪರ್ಕ ಹೇಗೆ ಸಿಕ್ಕಿತು ಎಂದು ಕೇಳಿ. ಸಕ್ರಿಯ ಗೋಡೆ ಪೋರ್ಟ್ಗೆ ಜೋಡಿಸಿದ ರೌಟರ್, ಅಥವಾ ತೆರೆದ SSID ಗೆ ಸೇರಿದ ತಂತುರಹಿತ ಕ್ಲೈಂಟ್, ಆ ಪೋರ್ಟ್ ಅಥವಾ SSID ಅನ್ವಯಿಸುವ ನೀತಿಯಿಂದ ಪ್ರವೇಶ ಪಡೆದಿದೆ. ಆ ನೀತಿ "ಸೇರಿಸಿದ್ದೆಲ್ಲವೂ ಕೆಲಸ ಮಾಡುವ VLAN ಪಡೆಯುತ್ತದೆ" ಎಂದಾದರೆ, VPN ಒಂದು ಲಕ್ಷಣ, ದುರ್ಬಲತೆ ಅಲ್ಲ.

DHCP ಬಾಡಿಗೆ ಅಧಿಕಾರದ ದಾಖಲೆ ಅಲ್ಲ. ವಿಳಾಸ ಸಿಗುವುದು ಅಥವಾ ಸಿಗದಿರುವುದು ವಿಳಾಸ ಹಂಚಿಕೆ ಸೇವೆಯನ್ನು ವಿವರಿಸುತ್ತದೆ, ಪೋರ್ಟ್ನ ಸ್ಥಿತಿಯನ್ನು ಅಲ್ಲ, ಮತ್ತು ಅನೇಕ ವಿನ್ಯಾಸಗಳು ದೃಢೀಕರಿಸದ ಸಾಧನವನ್ನು ಸಹಾಯಕ ಸೇವೆಗೆ ತಲುಪಲು ಬಿಡುತ್ತವೆ ಆದರೆ ಉಳಿದೆಲ್ಲವನ್ನೂ ನಿರಾಕರಿಸುತ್ತವೆ. ಬಾಡಿಗೆ ಕೋಷ್ಟಕವನ್ನು ವಿಳಾಸೀಕರಣದ ಸಾಕ್ಷ್ಯವಾಗಿ ನೋಡಿ, ವಿಶ್ವಾಸದ್ದಲ್ಲ.

ಈ ತನಿಖೆಗಳಲ್ಲಿ ಮೂರು ಬಗೆಯ ಸಾಕ್ಷ್ಯಗಳು ಬೆರೆತುಹೋಗುತ್ತವೆ: ಅನುಮೋದಿತ ವ್ಯಕ್ತಿ, ಅನುಮೋದಿತ ನಿರ್ವಹಿತ ಸಾಧನ ಮತ್ತು ದಾಸ್ತಾನು ಹಾಳೆಯಲ್ಲಿನ ನಮೂದು. ಪೋರ್ಟ್ ನೀತಿ ಇವುಗಳಲ್ಲಿ ಯಾವುದನ್ನು ಸ್ವೀಕರಿಸುತ್ತದೆ ಎಂಬುದನ್ನು ಸ್ಪಷ್ಟವಾಗಿ ಹೇಳಬೇಕು, ಏಕೆಂದರೆ ಕದ್ದ ರುಜುವಾತು ಮತ್ತು ಕ್ಲೋನ್ ಮಾಡಿದ MAC ವಿಳಾಸ ಬೇರೆ ಬೇರೆ ಷರತ್ತುಗಳನ್ನು ಪೂರೈಸುತ್ತವೆ.

ದೃಢೀಕೃತ ಪೋರ್ಟ್ ನಿಜವಾಗಿ ಏನನ್ನು ನಿರ್ಧರಿಸುತ್ತದೆ

IEEE 802.1X ನಲ್ಲಿ ಸ್ವಿಚ್ ಅಥವಾ ಪ್ರವೇಶ ಬಿಂದು ದೃಢೀಕರಣಕಾರ, ಮತ್ತು ಅದು ಅರ್ಜಿದಾರರ ರುಜುವಾತುಗಳನ್ನು RADIUS ಕ್ಲೈಂಟ್ ಆಗಿ ಕೇಂದ್ರ ಸೇವೆಗೆ ರವಾನಿಸುತ್ತದೆ. RADIUS 802.1X ಗುಣಲಕ್ಷಣಗಳು ಆ ಫಲಿತಾಂಶಕ್ಕೆ ಪೋರ್ಟ್ ಅಧಿಕಾರ ನೀಡಲು ಮತ್ತು ವಿನ್ಯಾಸದ ಪ್ರಕಾರ ಸೆಷನ್ ಅನ್ನು ನಿರ್ದಿಷ್ಟ VLAN ಅಥವಾ ನಿರ್ದಿಷ್ಟ ಲೆಕ್ಕಪತ್ರ ಸಂದರ್ಭದಲ್ಲಿ ಇರಿಸಲು ಅನುಮತಿಸುತ್ತವೆ. ಸ್ವಿಚ್ ನೀತಿ ಸರ್ವರ್ ಹಿಂತಿರುಗಿಸುವುದನ್ನು ಪೋರ್ಟ್ ಅದನ್ನು ಜಾರಿಗೊಳಿಸಲು ಸಂರಚಿಸಲಾಗಿದ್ದರೆ ಮಾತ್ರ ಜಾರಿಗೊಳಿಸುತ್ತದೆ.

ಈ ಕೊನೆಯ ಷರತ್ತಿನಲ್ಲೇ ನಿಯೋಜನೆಗಳು ಮೌನವಾಗಿ ವಿಫಲವಾಗುತ್ತವೆ. ಮೇಲ್ವಿಚಾರಣೆ ಅಥವಾ ಲಾಗಿಂಗ್ ಕ್ರಮದಲ್ಲಿ ಬಿಟ್ಟ ಪೋರ್ಟ್ ಉದ್ದೇಶಿತ ನಿರ್ಧಾರವನ್ನು ದಾಖಲಿಸಿ, ಆದರೂ ಸಂಚಾರವನ್ನು ಹಾದುಹೋಗಲು ಬಿಡುತ್ತದೆ, ಇದು ಪ್ರತಿ ವರದಿಯಲ್ಲೂ ಕೆಲಸ ಮಾಡುವ ನಿಯೋಜನೆಯಂತೆ ಕಾಣುತ್ತದೆ—ಯಾರಾದರೂ ನಿರ್ವಹಿಸದ ರೌಟರ್ ಜೋಡಿಸುವವರೆಗೆ.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

ಅರ್ಜಿದಾರರನ್ನು ಚಲಾಯಿಸಲಾಗದ ಸಾಧನಗಳಿಗೆ ಸಾಮಾನ್ಯ ವಿನಾಯಿತಿ ಅಲ್ಲ, ಪ್ರತ್ಯೇಕ ನಿರ್ಧಾರ ಬೇಕು. MAC ದೃಢೀಕರಣ ಬೈಪಾಸ್, ನೋಂದಣಿ ಪೋರ್ಟಲ್ ಅಥವಾ ಸಮರ್ಪಿತ ಸಾಧನ VLAN—ಎಲ್ಲವೂ ಕಾನೂನುಬದ್ಧ ಉತ್ತರಗಳು, ಆದರೆ ಪ್ರತಿಯೊಂದನ್ನೂ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಆರಿಸಿ ದಾಖಲಿಸಬೇಕು. ಯಾವ ಸಾಧನ ವರ್ಗಗಳು ಪರ್ಯಾಯ ಮಾರ್ಗವನ್ನು ಬಳಸಬಹುದು ಮತ್ತು ಯಾರು ಅವುಗಳನ್ನು ಅನುಮೋದಿಸುತ್ತಾರೆ ಎಂದು ಬರೆಯಿರಿ. ದಾಖಲಿಸದ ಪರ್ಯಾಯ ಮಾರ್ಗವೇ ನಿರ್ವಹಿಸದ ರೌಟರ್ ಯಾರ ಅನುಮೋದನೆಯೂ ಇಲ್ಲದೆ ಕೆಲಸ ಮಾಡುವ VLAN ಪಡೆಯುವ ದಾರಿ.

ಡೀಕ್ರಿಪ್ಷನ್ ಇಲ್ಲದೆ ಏನನ್ನು ನೋಡಬಹುದು

ಎನ್ಕ್ರಿಪ್ಷನ್ ಪೇಲೋಡ್ಗಳನ್ನು ಮರೆಮಾಡುತ್ತದೆ, ವರ್ತನೆಯನ್ನಲ್ಲ. ಮೂಲ ಮತ್ತು ಗಮ್ಯಸ್ಥಾನ ವಿಳಾಸಗಳು, ಪೋರ್ಟ್ಗಳು, ಪ್ಯಾಕೆಟ್ ಸಮಯ, ಹರಿವಿನ ಪರಿಮಾಣ ಮತ್ತು ಸೆಷನ್ ಅವಧಿ ನೀವು ಸಂಗ್ರಹಿಸುವ ಗಡಿಯಲ್ಲಿ ಗೋಚರವಾಗಿ ಉಳಿಯುತ್ತವೆ, ಮತ್ತು ಆ ಮೆಟಾಡೇಟಾ ಅಪರಿಚಿತ ಸಾಧನವನ್ನು ಪೋರ್ಟ್ ಮತ್ತು ಹೊರಹೋಗುವ ಗಮ್ಯಸ್ಥಾನಕ್ಕೆ ಜೋಡಿಸಲು ಸಾಕಾಗುತ್ತದೆ. ನೀವು ಓದಲಾಗದ್ದು ಟನೆಲ್ ಒಳಗಿನ ಅಪ್ಲಿಕೇಶನ್, ಮತ್ತು ಕೀಗಳಿಲ್ಲದೆ ಯಾವುದೇ ಪ್ಯಾಕೆಟ್ ಸೆರೆಹಿಡಿಯುವಿಕೆ ಅದನ್ನು ಬದಲಿಸುವುದಿಲ್ಲ.

ನಿರಂತರ ಟನೆಲ್ ತಾನಾಗಿಯೇ ದುರುದ್ದೇಶಪೂರಿತವಲ್ಲ. ತಾಣಗಳ ನಡುವಿನ ಸಂಪರ್ಕಗಳು, ಬ್ಯಾಕಪ್ ಏಜೆಂಟ್ಗಳು ಮತ್ತು ದೂರಸ್ಥ ಆಡಳಿತ ಸಾಧನಗಳು ವಿನ್ಯಾಸದ ಪ್ರಕಾರ ನಿರಂತರವಾಗಿ ಚಲಿಸುತ್ತವೆ, ಆದ್ದರಿಂದ ರಾತ್ರಿಯಿಡೀ ಇರುವ ಹರಿವು ತನ್ನಷ್ಟಕ್ಕೇ ಏನನ್ನೂ ಸಾಬೀತುಪಡಿಸುವುದಿಲ್ಲ. ಅದನ್ನು ಆ ಸ್ವತ್ತಿಗೆ ನಿಗದಿಪಡಿಸಿದ ಪಾತ್ರ ಮತ್ತು ಅದರ ವಿಭಾಗಕ್ಕೆ ಅನುಮೋದಿತ ಮೂಲರೇಖೆಯೊಂದಿಗೆ ಹೋಲಿಸಿ.

ಹೊರಹೋಗುವ ಸಂಚಾರವನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಮಿತಿಗೊಳಿಸಿ. ಗಮ್ಯಸ್ಥಾನ ಪೋರ್ಟ್ಗೆ ಅನುಮತಿ ನೀಡುವುದು ಅದನ್ನು ಬಳಸುವ ಅಪ್ಲಿಕೇಶನ್ ಅನ್ನು ಅನುಮೋದಿಸುವುದಕ್ಕೆ ಸಮಾನವಲ್ಲ, ಮತ್ತು ವರ್ಗೀಕರಣಕಾರರ ಊಹೆ ಅಧಿಕಾರದ ನಿರ್ಧಾರವಲ್ಲ. ತನಿಖೆಗೆ ಬೇಕಾದ ಮೆಟಾಡೇಟಾವನ್ನು ಹೆಸರಿಸಿದ ಮಾಲೀಕರು ಮತ್ತು ಧಾರಣ ಅವಧಿಯೊಂದಿಗೆ ಸಂಗ್ರಹಿಸಿ, ಪ್ರತಿ ಬಳಕೆದಾರರ ಸಂಪೂರ್ಣ ಸಂಚಾರವನ್ನು ಡೀಫಾಲ್ಟ್ ಆಗಿ ಸೆರೆಹಿಡಿಯುವ ಬದಲು.

ನೀವು ನಿಯಂತ್ರಿಸುವ ಗಡಿಯ ಮೂಲಕ ಹತೋಟಿಯಲ್ಲಿಡಿ

ಏನನ್ನಾದರೂ ಪ್ರತ್ಯೇಕಿಸುವ ಮೊದಲು ಸಾಧನ ಯಾರದ್ದು ಮತ್ತು ಎಲ್ಲಿ ಜೋಡಿಸಲಾಗಿದೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ನಂತರ ಘಟನೆ ಪ್ರಕ್ರಿಯೆ ಬಳಸಿ ಪೋರ್ಟ್ ಮಿತಿಗೊಳಿಸಿ ಅಥವಾ ಸೆಷನ್ ರದ್ದುಮಾಡಿ, ಸಾಕ್ಷ್ಯಗಳು ಇನ್ನೂ ತಾಜಾ ಇರುವಾಗ ಸಂಬಂಧಿತ ಲಾಗ್ಗಳನ್ನು ಸಂರಕ್ಷಿಸಿ. ಸ್ವಿಚ್ ಪೋರ್ಟ್ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಿ ಮತ್ತೆ ಸಕ್ರಿಯಗೊಳಿಸಬಹುದು; ನಲವತ್ತು ಮೇಜುಗಳಿಗೆ ಸೇವೆ ನೀಡುವ ಉತ್ಪಾದನಾ ಮೇಲ್ಮುಖ ಸಂಪರ್ಕವನ್ನು ಅಷ್ಟು ಸುಲಭವಾಗಿ ಹಿಂತಿರುಗಿಸಲಾಗದು.

ಎಂಡ್ಪಾಯಿಂಟ್ ಮೇಲೆ ಪ್ರತಿದಾಳಿ ಮಾಡಬೇಡಿ ಮತ್ತು ಸ್ಕ್ಯಾನ್ VPN ಪ್ರೋಟೋಕಾಲ್ ಸೂಚಿಸಿದ್ದರಿಂದ ಹಂಚಿದ ಪೋರ್ಟ್ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸಬೇಡಿ. ಎರಡೂ ಕ್ರಮಗಳು ಕಾನೂನುಬದ್ಧ ಕೆಲಸಕ್ಕೆ ಅಡ್ಡಿಪಡಿಸುತ್ತವೆ, ಸಾಧನವನ್ನು ಮೊದಲೇ ಒಳಗೆ ಬಿಟ್ಟ ಪ್ರವೇಶ ನಿರ್ಧಾರವನ್ನು ಸುಧಾರಿಸುವುದಿಲ್ಲ.

ಸ್ವೀಕೃತಿ ಪರೀಕ್ಷೆ ಸ್ಪಷ್ಟವಾಗಿದೆ: ಅನುಮೋದಿತ ಎಂಡ್ಪಾಯಿಂಟ್ ತನ್ನ ಪಾತ್ರಕ್ಕೆ ಬೇಕಾದ ಪ್ರವೇಶವನ್ನು ಇನ್ನೂ ಪಡೆಯುತ್ತದೆ, ಮತ್ತು ಅನುಮೋದಿಸದ ಸಾಧನ ಸಮಾನ ಮಾರ್ಗ ಪಡೆಯಲಾಗದು. ಮೇಲ್ವಿಚಾರಣೆ ಆ ಗಡಿಗೆ ಬೆಂಬಲ ನೀಡುತ್ತದೆ, ಮತ್ತು ಯಾರ ಎನ್ಕ್ರಿಪ್ಷನ್ ಮುರಿಯದೆಯೂ ಅದು ಶ್ರಮಕ್ಕೆ ಯೋಗ್ಯ.