Известувањата за најава на VPN не се известувања за пробив: следете ја сесијата
Невообичаена најава е причина за преглед, а не пресуда. Пред да го наречете пробив, поврзете го записот за автентикација со сесија, а потоа со она што таа го допрела.
Известување за VPN што се активира на нова земја изгледа конечна, а обично не е. Автентикацијата вели дека обидот е прифатен; сесијата вели која врска го носеше; записите за ресурси велат што се случило во таа врска. Секој одговара на различно прашање. Правило што ги спојува сите три произведува триесет тикети во понеделник и го пропушта вистинскиот случај во петок.
Странската адреса е прашање, а не одговор
Патувањето, мобилните оператори што излегуваат во друга земја, корпоративниот веб-прокси и прераспределениот базен carrier-grade NAT сите го поместуваат привидниот извор без да го поместат напаѓачот. Записот за најава одразува од каде врската влезе во мрежата, а не кој го држел уредот.
Обратниот неуспех е полош зашто е тивок. Украдена лозинка употребена од градот на самиот корисник произведува најава што се совпаѓа со секоја претходна најава во проверката на географија.
Третирањето на географијата како пресуда има мерлива цена. Патните преносни сметачи создаваат постојан тек на прегледи, прегледувачите учат да ги затвораат без читање, и навиката опстојува додека вистински случај не пристигне во истиот ред.
Три типа записи одговараат на три различни прашања
Започнете од она што распоредените производи навистина го емитуваат, а не од она што го навестува брошурата на производот. Одлуката за автентикација ја именува тврдената идентичност, методот и резултатот. Животниот циклус на сесијата ги именува врската, портата и доделената адреса, од почеток до запирање.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Празна ќелија е празнина во собирањето, а не ослободување. Ако настаните за ресурси никогаш не пристигнат, отсуството на сомнително читање значи дека цевководот нема што да пријави, а тивката табла го опишува цевководот, а не мрежата. Запишете кои записи распоредувањето навистина ги создава пред да ветите правило што зависи од нив, и именувајте го сопственикот на секој поток што недостига.
Сметководните детали се местото каде сесиите стануваат проверливи. RADIUS сметководството опишано во RFC 2866 носи ажурирања за почеток, запирање и средни, поврзани со идентификатор на сесија, па сесија со почеток и без запирање е празнина што можете да ја именувате наместо загатка.
Поврзете по сесијата, а не по корисничкото име
Една сметка законски држи неколку сесии истовремено: преносен сметач, телефон, лабораториска машина оставена поврзана преку ноќ. Поврзувањето на секој настан за тоа корисничко име спојува три уреди во една приказна и потоа ја чита комбинацијата како компромитација. Доделените адреси исто така се рециклираат, па спојот што продолжува да се совпаѓа со адреса откако сесијата завршила ја влече минатомесечната уред во денешниот инцидент. Чувајте го клучот на сесијата покрај адресата и ограничете го совпаѓањето на временскиот прозорец што сесијата навистина го покрила.
Онаму каде преводот го отстранува оригиналниот извор пред услугата да го види, користете ја идентичноста што опстојува на таа граница, како субјект на взаемен TLS или тврдење за еднократна најава. Измислувањето мапирање еден-на-еден помеѓу адреса и личност е истата грешка со дополнителни чекори.
Известување без сопственик е табла
Секое правило бара услов, безопасните објаснувања што го создаваат, доказите што треба да се извлечат и лицето што дејствува. Повторена одбиена административна операција, излив на неуспешни лозинки и тивок собирач се три различни инциденти со три различни часовници.
Известувањето не е задржување и списокот за дистрибуција не ограничува ништо. Промена на активна сесија бара компонента што може тоа да го направи, било портата што ја отфрла врската или давателот на идентитет што ја отповикува сесијата. Застарените текови и записите за запирање што недостигаат исто така припаѓаат на текстот на правилото, зашто собирач што ден не испратил ништо изгледа од таблата точно како тивка мрежа. Разликата е видлива само во самиот цевковод.
Проверете го патот на собирање пред да ѝ верувате на тивка недела
Докажете го цевководот од почеток до крај пред да дотерате едно правило. Командите подолу потврдуваат дека слушачите за автентикација и сметководство се активни, дека пробните акредитиви се одбиваат од вистинската причина и дека настаните за сесија се уште пристигнуваат:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Access-Reject од тестот докажува дека барањето стигнало до серверот и дека заедничката тајна се совпаднала, а тоа е делот што луѓето го прескокнуваат. Наместо тоа истекувањето укажува на тајната, слушачот или филтер пред него, и секое известување подолу е непроверливо додека тоа не се поправи.
Состојбата на часовникот е важна зашто прозорците за корелација претпоставуваат согласност. Порта што отстапува неколку минути го прави инаку чистиот спој на сесија невозможен, а прегледувачите компензираат со проширување на прозорецот додека спојот престане да разликува. Проверете го отстапувањето пред да го уредите правилото.
Потоа пуштете едно правило низ безопасен тест: создадете најава од неочекувана адреса, потврдете дека известувањето се активира, потврдете дека одговорниот може да ја извлече сесијата и нејзините настани за ресурси, и потврдете дека тикетот го носи идентификаторот на сесијата. Правило што произведува кожерентна приказна поминува. Правило што произведува куп лог-линии се уште е табла. Запишете го резултатот покрај правилото за следниот преглед да започне од докази, а не од интуиција.