VPN кирүү эскертүүлөрү — бул кирүү эскертүүлөрү эмес: сессияны көзөмөлдөңүз
Адаттан тыш кирүү — кайра кароого негиз, өкүм эмес. Кирүү деп атаардан мурун аутентификация жазуусун сессияга, андан кийин анын эмнеге тийгенине байланыштырыңыз.
Жаңы өлкөдө иштеп кеткен VPN эскертүүсү чечкиндүү көрүнөт, бирок адатта андай эмес. Аутентификация аракет кабыл алынганын айтат; сессия аны кайсы байланыш алып жүргөнүн айтат; ресурс жазуулары ошол байланыштын ичинде эмне болгонун айтат. Ар бири башка суроого жооп берет. Үчөөнү бириктирген эреже дүйшөмбүдө отуз билет жасайт жана жумада чыныгы учурду өткөрүп жиберет.
Чет өлкөлүк дарек — суроо, жооп эмес
Саякат, башка өлкөдөн чыккан уюлдук операторлор, корпоративдик веб-прокси жана кайра бөлүнгөн carrier-grade NAT көлмөсү — баары чабуулчуну жылдырбай, көрүнгөн булакты жылдырат. Кирүү жазуусу байланыш тармакка кайдан киргенин көрсөтөт, түзмөктү ким кармаганын эмес.
Кайтарылган ийгиликсиздик начар, анткени ал тынч. Колдонуучунун өз шаарынан колдонулган уурдалган сырсөз география текшерүүсүндө мурунку бардык кирүүлөргө дал келген кирүү жаратат.
Географияны өкүм катары кароонун өлчөнүүчү баасы бар. Саякаттаган ноутбуктар тынымсыз кароо агымын жаратат, текшерүүчүлөр аларды окубай жабууну үйрөнөт, жана бул адат чыныгы иш ошол эле кезекке түшкөнгө чейин сакталат.
Жазуулардын үч түрү үч башка суроого жооп берет
Орнотулган продукттар чындыгында эмне чыгарарынан баштаңыз, продукт брошюрасы алар эмне чыгара алары жөнүндөгү ишаратынан эмес. Аутентификация чечими билдирилген инсанды, ыкманы жана жыйынтыкты атайт. Сессиянын жашоо циклы байланышты, шлюзду жана ыйгарылган даректи башталыштан токтоого чейин атайт.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Бош уяча — чогултуудагы кемчилик, актоо эмес. Эгер ресурс окуялары эч качан келбесе, шектүү окуунун жоктугу түтүктүн билдире турган эч нерсеси жок дегенди билдирет, ал эми тынч такта тармакты эмес, түтүктү сүрөттөйт. Аларга көз каранды эрежени убада кылардан мурун орнотуу чындыгында кайсы жазууларды жаратарын жазыңыз жана ар бир жетишпеген агымдын ээсин атаңыз.
Бухгалтердик маалыматтар — сессиялар текшериле турган жер. RFC 2866 стандартында сүрөттөлгөн RADIUS эсеби сессия идентификаторуна байланган баштоо, токтотуу жана ортолук жаңыртууларды ташыйт, ошондуктан башталышы бар, бирок токтотуусу жок сессия — сыр эмес, атаса боло турган кемчилик.
Колдонуучу атына эмес, сессияга туташтырыңыз
Бир аккаунт мыйзамдуу түрдө бир эле учурда бир нече сессияны кармайт: ноутбук, телефон, түнү бою туташ калтырылган лабораториялык машина. Ошол колдонуучу атынын ар бир окуясын бириктирүү үч түзмөктү бир окуяга айландырат, анан айкалышты бузуу катары окуйт. Ыйгарылган даректер да кайра иштетилет, ошондуктан сессия бүткөндөн кийин да дарекке дал келүүнү уланткан бириктирүү өткөн айдын түзмөгүн бүгүнкү окуяга сүйрөп келет. Сессия ачкычын даректин жанында сактаңыз жана дал келүүнү сессия чындыгында камтыган убакыт терезеси менен чектеңиз.
Үйлөө көрбөстөн мурун котормо түпнуска булакты алып салган жерде, ошол чекте калган инсанды колдонуңуз, мисалы өз ара TLS субъектиси же бир жолку кирүү билдирүүсү. Дарек менен адамдын ортосунда бир-бирден дал келүүнү ойлоп табуу — кошумча кадамдар менен ошол эле ката.
Ээси жок эскертүү — такта
Ар бир эрежеге шарт, аны жараткан зыянсыз түшүндүрмөлөр, чогултулушу керек далилдер жана аракет кылган адам керек. Кайталануучу четке кагылган административдик операция, ийгиликсиз сырсөздөрдүн жарылуусу жана үнсүз чогултуучу — үч башка сааттагы үч башка окуя.
Билдирүү — обочолотуу эмес, ал эми таратуу тизмеси эч нерсени чектебейт. Жандуу сессияны өзгөртүү үчүн аны жасай алган компонент керек, ал байланышты таштаган шлюз болсун же сессияны жокко чыгарган инсан провайдери болсун. Эскирген агымдар жана жетишпеген токтотуу жазуулары да эреженин текстине кирет, анткени бир сутка ичинде эч нерсе жибербеген чогултуучу тактадан так тынч тармакка окшош көрүнөт. Айырма түтүктүн өзүндө гана көрүнөт.
Тынч жумага ишенерден мурун чогултуу жолун текшериңиз
Бир эрежени жөндөөрдөн мурун түтүктү башынан аягына чейин далилдеңиз. Төмөнкү буйруктар аутентификация жана эсептөө угуучуларынын иштеп жатканын, сыноо эсеп маалыматтарынын туура себептен четке кагылганын жана сессия окуяларынын дагы келип жатканын ырастайт:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Сыноодон алынган Access-Reject өтүнүчтүн серверге жеткенин жана жалпы сыр дал келгенин далилдейт, адамдар так ушул бөлүгүн өткөрүп жиберишет. Анын ордуна таймаут сырга, угуучуга же анын алдындагы чыпкага көрсөтөт, жана ал оңдолгонго чейин төмөнкү ар бир эскертүү текшерилбейт.
Сааттын абалы маанилүү, анткени корреляция терезелери макулдукту болжолдойт. Бир аз мүнөткө четтеп кеткен шлюз башкача таза сессия биригүүсүн мүмкүн эместей көрсөтөт, ал эми текшерүүчүлөр терезени кеңейтүү менен ордун толтурат, биригүү айырмалоону токтотконго чейин. Эрежени оңдоодон мурун четтөөнү текшериңиз.
Анан бир эрежени зыянсыз сыноодо иштетиңиз: күтүлбөгөн даректен кирүү жаратыңыз, эскертүү күйөрүн ырастаңыз, жооп берүүчү сессияны жана анын ресурстук окуяларын ала аларын ырастаңыз жана билет сессия идентификаторун алып жүрөрүн ырастаңыз. Ырааттуу окуяны жараткан эреже өтөт. Журнал саптарынын үймөгүн жараткан эреже дагы эле такта. Жыйынтыкты эреженин жанына жазыңыз, кийинки кароо интуициядан эмес, далилден башталсын.