Уруксатсыз VPN маршрутизатору: шифр чечүүдөн мурун кирүүнү көзөмөлдөө

Ички коммутатор портунда пайда болуп, дароо чыгуучу VPN ачкан белгисиз маршрутизатор эң маанилүү көзөмөлдөн мурун эле өтүп кеткен. Кирүү түзмөк жалпысынан пайдаланууга жарактуу тармактык кирүү алаарын чечет, ал эми шифр чечүү анын кийин эмне кылганын гана айтат. Бул тартипти туура кармоо мүмкүн эмес текшерүү маселесин күндөлүк порт саясатынын суроосуна айландырат. Бул ошондой эле кайтарылуучу аракет менен үзгүлтүктүн айырмасы.

Кирүү портто чечилет

Туннелдин эмнени ташыганын сураардан мурун түзмөктүн пайдаланууга жарактуу байланышты кантип алганын сураңыз. Активдүү дубал портуна туташкан маршрутизатор же ачык SSID ге кошулган зымсыз кардар ошол порт же SSID колдонгон саясат менен киргизилген. Эгер бул саясат «туташкандын баары иштеген VLAN алат» дегенди билдирсе, VPN — белги, ал эми алсыздык эмес.

DHCP ижарасы — авторизация жазуусу эмес. Дарек алуу же албоо дарек бөлүштүрүү кызматын сүрөттөйт, порттун абалын эмес, жана көптөгөн долбоорлор аутентификацияланбаган түзмөккө жардамчы кызматка жетүүгө жол берип, калганынын баарын четке кагат. Ижара таблицасын даректөө жөнүндө далил катары караңыз, ишеним жөнүндө эмес.

Бул иликтөөлөрдө үч түрдүү далил аралашат: бекитилген адам, бекитилген башкарылуучу түзмөк жана тизмек баракчасындагы жазуу. Порт саясаты алардын кайсынысын кабыл алаарын так айтышы керек, анткени уурдалган каттоо маалыматтары менен клондолгон MAC дареги ар кандай шарттарды канааттандырат.

Аутентификацияланган порт чындыгында эмнени чечет

IEEE 802.1X учурунда коммутатор же кирүү чекити аутентификатор болуп саналат жана өтүнүч берүүчүнүн каттоо маалыматтарын RADIUS кардары катары борбордук кызматка өткөрүп берет. RADIUS 802.1X атрибуттары бул жыйынтыкка портту авторизациялоого жана долбоорго жараша сессияны белгилүү бир VLAN же белгилүү бир эсеп контекстине жайгаштырууга мүмкүндүк берет. Коммутатор саясат сервери кайтарганды порт аны аткарууга конфигурацияланган учурда гана аткарат.

Дал ушул акыркы пунктта киргизүүлөр үнсүз ийгиликсиз болот. Көзөмөл же журнал режиминде калтырылган порт болжолдонгон чечимди жазып, трафикти баары бир өткөрөт, бул ар бир отчетто иштеп жаткан киргизүү сыяктуу көрүнөт, бирок бирөө башкарылбаган маршрутизаторду сайганга чейин.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Өтүнүч берүүчүнү иштете албаган түзмөктөргө жалпы эрежеден тышкары чечим керек. MAC аутентификациясын айланып өтүү, каттоо порталы же түзмөктөр үчүн атайын VLAN — баары мыйзамдуу жооптор, бирок ар бирин атайын тандап, документтештирүү керек. Кайсы түзмөк класстары камдык жолду колдоно аларын жана аларды ким бекитээрин жазыңыз. Документтелбеген камдык жол — башкарылбаган маршрутизатордун эч кимдин бекитүүсүз иштеген VLAN алышынын дал жолу.

Шифрди чечпей эмнени көрүүгө болот

Шифрлөө пайдалуу жүктү жашырат, жүрүм-турумду эмес. Булак жана багыт даректери, порттор, пакеттердин убактысы, агымдын көлөмү жана сессиянын узактыгы аларды чогулткан чекте көрүнүп турат, жана бул метаберилиштер белгисиз түзмөктү порт менен чыгуучу багытка байланыштырууга көп учурда жетиштүү. Окуй албаганыңыз — туннелдин ичиндеги колдонмо, жана ачкычтарсыз эч кандай пакетти кармоо муну өзгөртпөйт.

Туруктуу туннель өзүнөн зыяндуу эмес. Сайттар аралык байланыштар, резервдик көчүрүү агенттери жана алыскы башкаруу куралдары долбоор боюнча тынымсыз иштейт, ошондуктан түнү бою уланган агым өз алдынча эч нерсени далилдебейт. Аны ошол активге дайындалган рол менен жана анын сегменти үчүн бекитилген базалык сызык менен салыштырыңыз.

Чыгуучу трафикти атайын чектеңиз. Багыт портуна уруксат берүү аны колдонгон колдонмону бекитүү менен бирдей эмес, жана классификатордун божомолу авторизация чечими эмес. Иликтөө үчүн керектүү метаберилиштерди аталган ээси жана сактоо терезеси менен чогултуңуз, ар бир колдонуучунун бүткүл трафигин демейки түрдө тартуунун ордуна.

Өзүңүз көзөмөлдөгөн чек аркылуу ооздуктоо

Бир нерсени изоляциялоодон мурун түзмөк кимдики жана кайда туташканын ырастаңыз. Андан кийин окуя процессин колдонуп портту чектеңиз же сессияны жокко чыгарыңыз, далилдер жаңы кезинде тиешелүү журналдарды сактаңыз. Коммутатор портун өчүрүп, кайра күйгүзсө болот; кырк иш столуна кызмат кылган өндүрүштүк жогорку байланышты ошончолук оңой артка кайтарууга болбойт.

Акыркы чекитке каршы чабуул жасабаңыз жана скан VPN протоколун көрсөткөндүктөн жалпы портту өчүрбөңүз. Эки аракет тең мыйзамдуу ишти үзөт, бирок түзмөктү башынан өткөргөн кирүү чечимин жакшыртпайт.

Кабыл алуу сынагы так: бекитилген акыркы чекит өз ролуна керектүү кирүүнү дагы эле алат, ал эми бекитилбеген түзмөк барабар жолду ала албайт. Мониторинг ошол чекти колдойт жана бирөөнүн шифрин бузбастан эле күч жумшоого татыктуу.