VPN түзмөгүнүн абалын текшерүү тосмолобой жатабы? Адегенде отчётту караңыз

Акыркы чекиттин агенти ден соолугу жакшы деп билдирет, бирок ички колдонмо дагы эле ачылат. Топтоочуну, өкүмдү жана тосмону карап чыгып, анан баш тартууну бир суроо менен далилдеңиз.

Эгер вируска каршы кол тамгалары апталар мурун жаңыртууну токтоткон ноутбук дагы эле ички колдонмоңузду ача алса, анда саясат документи сейрек туура эмес нерсе болот. Жетүүдөн баш тартылганга чейин үч өзүнчө тутум макулдашууга тийиш: бир нерсе акыркы чекитти өлчөйт, бир нерсе ошол өлчөмдү уруксат же баш тартуу өкүмүнө айландырат, ал эми бир нерсе трафикти чындап таштайт. Шайкеш эмес түзмөк баары бир кирсе, так ошол звенолордун бири жок же болбошу керек далилге ишенет. Төмөнкү текшерүүлөр ушундай тартипте жүрөт жана ар биринин токтоо чекити бар.

Тосмо — акыркы кадам, биринчиси эмес

Аутентификация жана түзмөктүн абалы ар башка суроолорго жооп берет. Ийгиликтүү кирүү эсептик маалымат сунушталганын далилдейт; ал аны сунуштаган машинада эмне иштеп жатканы тууралуу эч нерсе айтпайды. Ушул ажырыктан улам көчүрүлгөн клиент профили соо көрүнгөн сессияны соо эмес хостко алып барышы мүмкүн.

Акыркы чекиттердин шайкештик ишинде бул чынжыр үчүн сөздүк бар. RFC 5209 документиндеги NEA таяныч модели ишти топтоочуга, баалоо кадамына жана колдонуу чекитине бөлөт жана өз абалы тууралуу калп айткан клиент моделден тыш каларын ачык айтат. Бул эскертүү диаграммадан маанилүүрөөк: ишенимдүү платформа модулу өзү билдирген өлчөмдү фактыга айландырбайт.

Топтоочуну көлөм жагынан ак ниеттүү кармаңыз. Ал саясатыңыз атаган атрибуттарды жетүүнү сураган түзмөктө билдирүүгө тийиш, башканы аз. Орнотулган ар бир пакетти тизмелеген инвентаризация агенти абал топтоочудан башка курал, ал эми айырма бир эле учурда сактоо жана тактык маселеси. Эгер отчётту бир түзмөк идентификаторуна байлоо мүмкүн болбосо, баалоочу кайсы машинага жаңы эле уруксат бергенин божомолдоп жатат.

Кызыл абалды көрсөткөн такта көзөмөл эмес. Баш тартылган колдонуучу дагы эмнеге жете аларын сураңыз: викиге, файл бөлүшүүсүнө, маалымат базасынын портуна? Оңдоо үчүн бир тар бет керек, ал эми калганынын баары тосмонун артында.

Эрежени окуудан мурун отчётту окуңуз

Клиенттин жашыл белгисинен эмес, булактан баштаңыз. Windows-та жергиликтүү өлчөм Defenderден же өзүн Security Centerге каттаган продукттан келет, жана экөөнү тең жеткирүүчүнүн консолу жок окууга болот:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productState

Экинчи буйрук productState деп аталган бүтүн санды кайтарат. Анын биттери жеңил документтелген жана жеткирүүчүлөр күйгүзүү жана актуалдуулук желектерин ар башкача таңуулашат, ошондуктан талдоонун ордуна ырастаңыз. Үчүнчү тараптын пакеттери да алып салуудан кийин Security Center жазуусун калтырат, ал эми ал дискте жок программалык камсыздоо тууралуу билдирет.

Жаш — адамдар өткөрүп жиберген талаа. Кол тамганын убакыт белгиси баалоону жүргүзгөн машинанын саатына салыштырганда гана мааниге ээ, ошондуктан көз менен баалоонун ордуна интервалга айландырыңыз:

$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHours

Эми саясатта окуй турган бир сан бар. Эрежеңиз 72 саат десе, ал колдонгон сан ушул, жана бир апта уктаган ноутбук эч ким белгини чечмелебестен эле ишке ашпайт. Босогону буйруктун жанына жазып коюңуз, анткени акыркы чекит куралы алмаштырылганда экөө ажырайт.

Ар бир түзмөктүн абалын жазуу өкүмүнө айландырыңыз

Абал тууралуу талаштардын көбү чындыгында белгисиз сап тууралуу талаш. Аны биринчи окуяга чейин чечиңиз, далилди, өкүмдү жана ээсин атаган таблицада, ошондо эч ким дарбаза консолунда колма-кол чечим кабыл албайт.

Evidence the assessor hasVerdictWhat it protects against
Timestamp inside the policy window, protective service runningAdmit to normal applicationsNothing yet; the other checks still apply
Timestamp older than the windowDeny, admit remediation page onlySignature rollback and dormant laptops
Service disabled or reporting offDeny, escalate to the endpoint ownerAn agent reporting stale success
No report at all for this sessionTreat as deny, never as healthyAgents that fail open under load

Продуктулар так төмөнкү сапта айырмаланат. Кээ бир дарбазалар туташуудан баш тартып, себебин түшүндүрөт; башкалары тоннелдин көтөрүлүшүнө жол берип, чектелген саясатты колдонот; аздары акыркы белгилүү жакшы отчётко кайтат. Биринчи экөө гана коргоого татыктуу, жана сиздики кайсынысын жасаарын текшерүүгө татыктуу.

Идентификация менен уруксатты да өз тилкелеринде кармаңыз. Ар бир абал тестинен өткөн ноутбук дагы эле колдонмо үчүн туура адамдык авторизацияны талап кылат, ал эми түзмөк сертификаты ачкычка ээликти далилдейт, файл тутумунун абалын эмес. Үчөөнү бир булга кысуу — колдоо кызматынын эсеби өндүрүшкө туруктуу жетүү ала турган жол.

Колдонуу жолун такта менен эмес, суроо менен текшериңиз

Колдонуу — суроонун касиети, ошондуктан аны бир суроо менен өлчөңүз. Шайкеш эмес машинаны тоннелге коюп, чыныгы колдонуучу жасай турган чакырыкты жасаңыз:

curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/health

Тосмолушу керек түзмөктөн 200 келсе, бул чечим маалымат жолуна эч качан жетпегенин билдирет. Эки кадимки себеп: саясат сыноо эсеби кирбеген топко байланган, же колдонмого VPN ээлик кылбаган маршрут аркылуу жетүүгө болот.

Адегенде маршруттоо божомолун текшериңиз. Эгер ички ат клиент жергиликтүү LAN аркылуу эбак жеткен дарекке чечилсе, тоннел маанисиз жана эч бир саясат колдонулбайт. Ошол даректи дарбаза түрткөн маршрут менен салыштырыңыз. OpenVPN программасында ар бир клиенттин саясаты жалпы ат менен ачкычталган файлдарда жашайт, ошондуктан аны текшерүү оңой:

ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17

disable бар файл ошол клиентти толук ажыратат, ал эми push "route ..." сабы кайда жетүүгө болорун тарылтат. Экөө тең колдонуу, жана экөө тең отчётту жөндөгөн адамга көрүнөт.

Төрт учурду бир сыноо эсебинде текшериңиз

Акыркы текшерүү — кичинекей матрица, бактылуу жол эмес. Бир сыноо эсебин төрт абалдан өткөрүңүз: учурдагы, мөөнөтү өткөн кол тамга, коргоо өчүрүлгөн, агент орнотулган эмес. Ар бири үчүн өкүмдү баалоо журналына, колдонмо кайтарган HTTP абалын жана оңдоо бети жүктөлгөнүн жазыңыз.

foreach ($case in 'current', 'stale', 'disabled', 'absent') {
  Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
  curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}

Эки деталды байкабай калуу оңой. Адегенде кайталоо: машина соо кезде алынган отчёт ошол эле түзмөктөгү кийинки сессияга кабыл алынбашы керек, ошондуктан учурдагы туташууга байланган убакыт белгисин издеңиз. Анан алып салуу: агентти алып салуу эскирген отчёт сыяктуу эле баш тартууну пайда кылышы керек, таза өтүү эмес, жана дал ушул учур көбүнчө эч качан текшерилбейт.

Матрица таблицага дал келсе, дарбазаны кийин башкара турган адамга үч нерсени өткөрүп бериңиз: буйруктарды, босогого жана күтүлгөн төрт натыйжаны. Дал ушул өткөрүп берүү — чыныгы натыйжа, анткени саясат документинде гана жашаган абал дизайны акыркы чекит куралы өзүнүн отчёт талаасын өзгөрткөндө биринчи жолу тайгаланат.

Тектеш макалалар