Блокирајте еден уред од VPN без деактивирање на целиот профил

Еден вработен, два лаптопи и само еден од нив треба да го загуби пристапот. Деактивирањето на профилот е очигледната полуга, но казнува погрешен обем, додека бришењето на зачуван профил на крајната точка е предлог, а не контрола. Одлуката се сведува на три услови: дали постои идентитет на уред што VPN-от може да го провери, дали оваа конкретна врска навистина го оценува и што сакате да се случи со уредот наместо со лицето. Одговорете по тој ред и спроведувањето обично само се избира.

Прв услов: има ли докази за уредот што VPN-от може да ги провери?

Изворната адреса е споделена зад канцеларискиот NAT и се менува на мобилните мрежи. Името на домаќинот е она што уредот го тврди, MAC-адресата лесно се фалсификува, а вредноста во регистарот може да ја напише сè што има локални права. Ниту едно од нив не е идентитет додека нешто не го провери. Одделно регистриран акредитив на уред, како сертификат издаден за таа крајна точка, е единствената опција што на отповикувањето му дава цел потесна од корисничкиот профил.

Акредитивот се смета само ако врската се автентицира со него и ја проверува синџирот при секој обид. Датотека што лежи во складиштето на машината не докажува ништо.

Втор услов: дали оваа врска го оценува?

Атрибутите на крајната точка не се универзални. На ASA, Cisco ASDM DAP водич ги одвојува корисничките AAA информации од атрибутите за оценка на крајната точка, а достапноста на атрибутите зависи од протоколот за далечински пристап, распоредените posture алатки и лиценцата. Проверката на регистарот бара поддржана патека за собирање, и дури и тогаш известува што видел алатот на крајната точка, а не дека машината е онаа на која ѝ верувате.

Затоа практичното прашање е тесно: на овој тунел, со овој клиент и овој posture агент, кој атрибут пристигнува пополнет и доверлив? Ако одговорот е ниеден, политика напишана против него ќе се совпадне со ништо или со сè, а двата исхода се полоши од заклучувањето на профилот што го избегнувавте.

Трет услов: одбивање, поправка или потесен пристап?

Достапни се три исходи и тие не се заменливи. Можете да ја прекинете сесијата, што пристапот целосно го отстранува; можете да го ставите уредот во карантин во состојба во која достигнува само ресурси за поправка; или можете да ја оставите сесијата и да го намалите нејзиниот ACL на ресурси на неколкуте нешта што на уредот сè уште му требаат. Дејствата на сесијата DAP и ACL-ите на ресурси одговараат на различни прашања, па изборот е за тоа колку придружна штета лицето треба да поднесе.

За изгубен или украден лаптоп одговорот обично е прекин. За машина што не поминала posture проверка, поправката е поблага и исто толку делотворна.

Одлучете што се случува кога недостасуваат докази

Стандардната патека е поважна од правилото што го напишавте за добриот случај. Ако очекуваниот атрибут никогаш не пристигне затоа што posture агентот е расипан, политиката што го бара може да падне на стандардна вредност што ја пушта сесијата. Прочитајте го стандардниот резултат и намерно тестирајте го случајот без докази, зашто токму таа состојба ќе ја претстави напаѓач што го отстранува агентот.

Повеќе совпаѓачки DAP записи се агрегираат, а не се решаваат со едноставен редослед на прво совпаѓање, а нивниот ACL приоритет е одделен механизам од изборот на запис. Прочитајте го описот на агрегацијата во водичот пред да претпоставите дека победува построгиот запис.

Обработете ги сесиите што веќе постојат, потоа тестирајте ги двата уреда

Промената на правило за прием или отповикување на акредитив не опишува што се случува со сесија што е веќе воспоставена и пренесува сообраќај. Ако е потребно веднаш отстранување, следете ја поддржаната постапка за прекин и повторна оценка на сесијата наместо да чекате следно повторно поврзување. Ова е чекорот што најчесто се прескокнува за време на инцидент, и тоа е разликата меѓу политика и исход.

Тестирајте со истиот дозволен корисник на двете машини под одобрена проверка. Блокираниот уред треба да го добие точно предвиденото одбивање или исходот од поправка, а другиот да ги задржи само своите овластени ресурси. Тоа ја проверува границата на уредот без да го отповика другиот одобрен пристап на лицето.

Ако не можете да ги направите овие два исхода различни, проблемот е во доказите, а не во политиката, и никакво прилагодување на правилата нема да го поправи.