Een Apparat vum VPN blockéieren, ouni de ganze Kont ze deaktivéieren

Een Employé, zwee Laptops, an nëmmen ee vun hinne muss den Zougang verléieren. De Kont deaktivéieren ass de offensichtleche Hebel, awer et bestrooft de falsche Beräich, während d'Läschen vun engem gespäicherte Profil um Endpunkt e Virschlag ass an net eng Kontroll. D'Entscheedung kënnt op dräi Bedingunge rof: ob et eng Apparatidentitéit gëtt, déi de VPN ka verifizéieren, ob dës bestëmmten Verbindung se wierklech auswäert, a wat Dir wëllt, datt mam Apparat geschitt anstatt mat der Persoun. Äntwert se an där Reihenfolg, an d'Duerchsetzung wielt sech meeschtens selwer.

Éischt Bedingung: gëtt et Apparatbeweiser, déi de VPN ka verifizéieren?

Eng Quelladress gëtt hannert dem Büro-NAT gedeelt an ännert sech op Mobilnetzwierker. En Hostnumm ass dat, wat den Apparat behaapt, eng MAC-Adress léisst sech trivial fälschen, an e Registrierungswäert ka vun allem mat lokalen Rechter geschriwwe ginn. Nee vun dëse ass eng Identitéit, bis eppes se verifizéiert. Eng separat registréiert Apparatberechtegung, wéi en Zertifikat, deen un deen Endpunkt ausgestallt gouf, ass déi eenzeg Optioun, déi enger Zréckzuch en Zil gëtt, dat méi enk ass wéi de Benotzerkont.

D'Berechtegung zielt nëmmen, wann d'Verbindung sech domat authentifizéiert an d'Kette bei all Versuch validéiert. Eng Datei, déi am Späicher vum Rechner läit, beweisegt näischt.

Zweet Bedingung: wäert dës Verbindung se aus?

Endpunktattributer sinn net universell. Op enger ASA trennt dem Cisco seng ASDM DAP-Guide Benotzer-AAA-Informatioun vun Endpunktbewäertungsattributer, a wéi eng Attributer verfügbar sinn, hänkt vum benotzte Fernzougangsprotokoll, de bereetgestellte Posture-Werkzeugen an der Lizenz of. Eng Registrierungsprüfung brauch den ënnerstëtzten Erfaassungswee, an och dann mellt se, wat den Endpunktwerkzeug gesinn huet, net datt de Rechner deen ass, deem Dir vertraut.

Also ass déi praktesch Fro enk: op dësem Tunnel, mat dësem Client an dësem Posture-Agent, wéi en Attribut kënnt gefëllt an zouverlässeg un? Wann d'Äntwert keng ass, wäert eng Politik, déi dogéint geschriwwe gouf, op näischt oder op alles passen, an béid Resultater si schlëmmer wéi de Kontspär, déi Dir vermeit.

Drëtt Bedingung: Oflehnung, Behiewung oder méi enken Zougang?

Dräi Resultater sinn verfügbar an se sinn net auswiesselbar. Dir kënnt d'Sessioun beenden, wat den Zougang komplett ewechhëlt; Dir kënnt den Apparat a Quarantän setzen an en Zoustand, wou en nëmmen ëmmer Behiewungsressourcen erreecht; oder Dir kënnt d'Sessioun loossen an hir Ressourcen-ACL op déi wéineg Saachen ofschneiden, déi deen Apparat nach brauch. DAP-Sessiounsaktiounen an Ressourcen-ACLen äntwerten op verschidde Froe, also geet et bei der Wiel drëm, wéi vill Kollateralschued d'Persoun soll droen.

Fir en verluerenen oder geklautene Laptop ass d'Äntwert meeschtens d'Beendung. Fir eng Maschinn, déi eng Posture-Prüfung net bestanen huet, ass d'Behiewung méi frëndlech an gläich wierksam.

Entscheet, wat geschitt, wann d'Beweiser fehlen

Den Standardwee ass méi wichteg wéi d'Regel, déi Dir fir de gudde Fall geschriwwen hutt. Wann den erwaarten Attribut ni ukënnt, well de Posture-Agent futti ass, kann eng Politik, déi en erfuerdert, op en Standard duerchfalen, deen d'Sessioun erluecht. Liest den Standardresultat a testt de Fall ouni Beweiser bewosst, well dat ass den Zoustand, deen en Ugräifer, deen den Agent ewechhëlt, presentéiere wäert.

Méi passend DAP-Aschreiwunge ginn aggregéiert an net duerch eng einfach Éischt-Match-Reiefolleg geléist, an hir ACL-Prioritéit ass en separate Mechanismus vun der Aschreiwungswiel. Liest d'Beschreiwung vun der Aggregatioun am Guide, ier Dir ugeholl hutt, datt déi méi streng Aschreiwung gewënnt.

Behandelt Sessiounen, déi schonn existéieren, a testt dann béid Apparater

Eng Zoulassungsregel z'änneren oder eng Berechtegung zréckzezéien beschreift net, wat mat enger Sessioun geschitt, déi schonn etabléiert ass an Traffic duerchléisst. Wann déi direkt Ewechhuelen d'Fuerderung ass, befollegt de vun der Implementatioun ënnerstëtzten Optrag fir Sessiounsbeendung an Neibewäertung, amplaz op déi nächst Neiverbindung ze waarden. Dëst ass de Schrëtt, deen bei engem Tëschefall am dackste iwwersprong gëtt, an et ass den Ënnerscheed tëscht enger Politik an engem Resultat.

Testt mam selwechten erlaabten Benotzer op béide Maschinnen ënner enger guttgeheessener Kontroll. Den blockéierten Apparat soll genee déi beabsichtegt Oflehnung oder d'Behiewungsresultat kréien, an deen aneren soll nëmmen seng autoriséiert Ressourcen behalen. Dat verifizéiert d'Apparatgrenz, ouni den aneren guttgeheessenen Zougang vun der Persoun zréckzezéien.

Wann Dir déi zwee Resultater net verschidde kënnt maachen, ass de Problem d'Beweiser, net d'Politik, an keng Regelofstimmung wäert et reparéieren.