അനധികൃത VPN റൗട്ടർ: ഡീക്രിപ്ഷന് മുമ്പുള്ള പ്രവേശന നിയന്ത്രണം

ആന്തരിക സ്വിച്ച് പോർട്ടിൽ പ്രത്യക്ഷപ്പെട്ട് ഉടൻ പുറത്തേക്കുള്ള VPN തുറക്കുന്ന അപരിചിത റൗട്ടർ ഇതിനകം ഏറ്റവും പ്രധാനമായ നിയന്ത്രണം കടന്നിരിക്കുന്നു. ഉപകരണത്തിന് ഉപയോഗയോഗ്യമായ നെറ്റ്വർക്ക് പ്രവേശനം ലഭിക്കുമോ എന്ന് പ്രവേശനം തീരുമാനിക്കുന്നു, ഡീക്രിപ്ഷൻ പിന്നീട് അത് എന്ത് ചെയ്തു എന്ന് മാത്രം പറയുന്നു. ഈ ക്രമം ശരിയായി പാലിച്ചാൽ അസാധ്യമായ പരിശോധന പ്രശ്നം സാധാരണ പോർട്ട് നയ പ്രശ്നമായി മാറുന്നു. പിൻവലിക്കാവുന്ന നടപടിയും സേവന തടസ്സവും തമ്മിലുള്ള വ്യത്യാസവും ഇതാണ്.

പ്രവേശനം തീരുമാനിക്കുന്നത് പോർട്ടിൽ

ടണൽ എന്ത് കൊണ്ടുപോകുന്നു എന്ന് ചോദിക്കുന്നതിന് മുമ്പ് ഉപകരണത്തിന് ഉപയോഗയോഗ്യമായ കണക്ഷൻ എങ്ങനെ ലഭിച്ചു എന്ന് ചോദിക്കുക. സജീവമായ ചുവരിലെ പോർട്ടിൽ ഘടിപ്പിച്ച റൗട്ടർ, അല്ലെങ്കിൽ തുറന്ന SSID-ൽ ചേർന്ന വയർലെസ് ക്ലയന്റ്, ആ പോർട്ടോ SSID-യോ പ്രയോഗിക്കുന്ന നയപ്രകാരമാണ് പ്രവേശനം ലഭിച്ചത്. ആ നയം "കുത്തിച്ചേർക്കുന്നതെല്ലാം പ്രവർത്തിക്കുന്ന VLAN ലഭിക്കും" എന്നതാണെങ്കിൽ, VPN ഒരു ലക്ഷണമാണ്, ദുർബലതയല്ല.

DHCP പാട്ടം അധികാര രേഖയല്ല. വിലാസം ലഭിക്കുന്നതോ ലഭിക്കാത്തതോ വിലാസ വിതരണ സേവനത്തെ വിവരിക്കുന്നു, പോർട്ടിന്റെ അവസ്ഥയെയല്ല, കൂടാതെ പല രൂപകൽപ്പനകളും പ്രാമാണീകരിക്കാത്ത ഉപകരണത്തെ ഒരു സഹായ സേവനത്തിൽ എത്താൻ അനുവദിക്കുകയും ബാക്കിയെല്ലാം നിരസിക്കുകയും ചെയ്യുന്നു. പാട്ട പട്ടികയെ വിലാസനിർണ്ണയത്തെക്കുറിച്ചുള്ള തെളിവായി കാണുക, വിശ്വാസത്തെക്കുറിച്ചല്ല.

ഈ അന്വേഷണങ്ങളിൽ മൂന്ന് തരം തെളിവുകൾ കൂടിച്ചേരുന്നു: അംഗീകരിച്ച വ്യക്തി, അംഗീകരിച്ച നിർവഹിത ഉപകരണം, കൂടാതെ ഇൻവെന്ററി ഷീറ്റിലെ ഒരു എൻട്രി. പോർട്ട് നയം ഇവയിൽ ഏതാണ് സ്വീകരിക്കുന്നതെന്ന് വ്യക്തമാക്കണം, കാരണം മോഷ്ടിച്ച ക്രെഡൻഷ്യലും ക്ലോൺ ചെയ്ത MAC വിലാസവും വ്യത്യസ്ത വ്യവസ്ഥകൾ പൂർത്തിയാക്കുന്നു.

പ്രാമാണീകരിച്ച പോർട്ട് യഥാർത്ഥത്തിൽ എന്ത് തീരുമാനിക്കുന്നു

IEEE 802.1X-ൽ സ്വിച്ചോ ആക്സസ് പോയിന്റോ ആണ് പ്രാമാണീകരണക്കാരൻ, അത് അപേക്ഷകന്റെ ക്രെഡൻഷ്യലുകൾ RADIUS ക്ലയന്റായി കേന്ദ്ര സേവനത്തിലേക്ക് കൈമാറുന്നു. RADIUS 802.1X ഗുണങ്ങൾ ആ ഫലത്തിന് പോർട്ട് അധികാരപ്പെടുത്താനും, രൂപകൽപ്പനയനുസരിച്ച്, സെഷൻ ഒരു നിർദിഷ്ട VLAN-ലോ നിർദിഷ്ട അക്കൗണ്ടിംഗ് സന്ദർഭത്തിലോ ഇടാനും അനുവദിക്കുന്നു. പോർട്ട് അത് നടപ്പാക്കാൻ ക്രമീകരിച്ചിട്ടുണ്ടെങ്കിൽ മാത്രമേ സ്വിച്ച് നയ സെർവർ തിരികെ നൽകുന്നത് നടപ്പാക്കൂ.

ഈ അവസാന വ്യവസ്ഥയിലാണ് വിന്യാസങ്ങൾ നിശ്ശബ്ദമായി പരാജയപ്പെടുന്നത്. നിരീക്ഷണത്തിലോ ലോഗിംഗ് മോഡിലോ വിട്ട പോർട്ട് ഉദ്ദേശിച്ച തീരുമാനം രേഖപ്പെടുത്തി ട്രാഫിക്ക് കടത്തിവിടുന്നു, ഇത് എല്ലാ റിപ്പോർട്ടിലും പ്രവർത്തിക്കുന്ന വിന്യാസം പോലെ തോന്നും, ആരെങ്കിലും നിയന്ത്രിക്കാത്ത റൗട്ടർ ഘടിപ്പിക്കുന്നതുവരെ.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

അപേക്ഷകൻ ഓടിക്കാൻ കഴിയാത്ത ഉപകരണങ്ങൾക്ക് പൊതുവായ ഒഴിവാക്കലല്ല, വേറിട്ട തീരുമാനം വേണം. MAC പ്രാമാണീകരണം ഒഴിവാക്കൽ, ഒരു രജിസ്ട്രേഷൻ പോർട്ടൽ, അല്ലെങ്കിൽ സമർപ്പിത ഉപകരണ VLAN—എല്ലാം സാധുവായ ഉത്തരങ്ങളാണ്, പക്ഷേ ഓരോന്നും ബോധപൂർവം തിരഞ്ഞെടുത്ത് രേഖപ്പെടുത്തണം. ഏത് ഉപകരണ വിഭാഗങ്ങൾക്ക് പകരം വഴി ഉപയോഗിക്കാം, ആരാണ് അവ അംഗീകരിക്കുന്നത് എന്ന് എഴുതുക. രേഖപ്പെടുത്താത്ത പകരം വഴിയാണ് നിയന്ത്രിക്കാത്ത റൗട്ടർ ആരുടെയും അനുമതിയില്ലാതെ പ്രവർത്തിക്കുന്ന VLAN നേടുന്ന വഴി.

ഡീക്രിപ്ഷൻ ഇല്ലാതെ എന്ത് കാണാം

എൻക്രിപ്ഷൻ പേലോഡുകൾ മറയ്ക്കുന്നു, പെരുമാറ്റമല്ല. ഉറവിട-ലക്ഷ്യ വിലാസങ്ങൾ, പോർട്ടുകൾ, പാക്കറ്റ് സമയം, ഫ്ലോ അളവ്, സെഷൻ ദൈർഘ്യം എന്നിവ നിങ്ങൾ ശേഖരിക്കുന്ന അതിർത്തിയിൽ ദൃശ്യമായി തുടരും, ആ മെറ്റാഡാറ്റ അപരിചിത ഉപകരണത്തെ ഒരു പോർട്ടുമായും പുറത്തേക്കുള്ള ലക്ഷ്യവുമായും ബന്ധിപ്പിക്കാൻ പലപ്പോഴും മതിയാകും. വായിക്കാൻ കഴിയാത്തത് ടണലിനുള്ളിലെ ആപ്ലിക്കേഷനാണ്, കീകളില്ലാതെ ഒരു പാക്കറ്റ് ക്യാപ്ചറും അത് മാറ്റുന്നില്ല.

നിരന്തരമായ ടണൽ സ്വയം ദുഷ്ടമല്ല. സൈറ്റുകൾക്കിടയിലുള്ള ലിങ്കുകൾ, ബാക്കപ്പ് ഏജന്റുകൾ, വിദൂര ഭരണ ഉപകരണങ്ങൾ എന്നിവ രൂപകൽപ്പനപ്രകാരം തുടർച്ചയായി പ്രവർത്തിക്കുന്നു, അതിനാൽ രാത്രി മുഴുവൻ നീണ്ടുനിൽക്കുന്ന ഒരു ഫ്ലോ സ്വയം ഒന്നും തെളിയിക്കുന്നില്ല. അതിനെ ആ അസറ്റിന് നൽകിയ പങ്കുമായും അതിന്റെ സെഗ്മെന്റിനുള്ള അംഗീകൃത അടിസ്ഥാനരേഖയുമായും താരതമ്യം ചെയ്യുക.

പുറത്തേക്കുള്ള ട്രാഫിക് ബോധപൂർവം പരിധിയാക്കുക. ഒരു ലക്ഷ്യ പോർട്ട് അനുവദിക്കുന്നത് അത് ഉപയോഗിക്കുന്ന ആപ്ലിക്കേഷൻ അംഗീകരിക്കുന്നതിന് തുല്യമല്ല, കൂടാതെ ഒരു വർഗ്ഗീകരണക്കാരന്റെ ഊഹം അധികാര തീരുമാനമല്ല. അന്വേഷണത്തിന് ആവശ്യമായ മെറ്റാഡാറ്റ പേരുള്ള ഉടമയോടും സൂക്ഷിപ്പ് കാലയളവിനോടും കൂടി ശേഖരിക്കുക, ഓരോ ഉപയോക്താവിന്റെയും മുഴുവൻ ട്രാഫിക് സ്വതവേ ക്യാപ്ചർ ചെയ്യുന്നതിന് പകരം.

നിങ്ങൾ നിയന്ത്രിക്കുന്ന അതിർത്തിയിലൂടെ ഒതുക്കുക

എന്തെങ്കിലും വേർതിരിക്കുന്നതിന് മുമ്പ് ഉപകരണം ആരുടേതാണെന്നും എവിടെയാണ് ഘടിപ്പിച്ചിരിക്കുന്നതെന്നും സ്ഥിരീകരിക്കുക. തുടർന്ന് സംഭവ പ്രക്രിയ ഉപയോഗിച്ച് പോർട്ട് പരിമിതപ്പെടുത്തുകയോ സെഷൻ റദ്ദാക്കുകയോ ചെയ്യുക, തെളിവുകൾ പുതുമയുള്ളതായിരിക്കുമ്പോൾ പ്രസക്ത ലോഗുകൾ സംരക്ഷിക്കുക. സ്വിച്ച് പോർട്ട് പ്രവർത്തനരഹിതമാക്കി വീണ്ടും പ്രവർത്തനക്ഷമമാക്കാം; നാല്പത് മേശകൾക്ക് സേവനം നൽകുന്ന ഒരു ഉൽപാദന അപ്സ്ട്രീം ലിങ്ക് അത്ര എളുപ്പം പിൻവലിക്കാനാവില്ല.

എൻഡ്പോയിന്റിന് നേരെ തിരിച്ചടി നടത്തരുത്, സ്കാൻ VPN പ്രോട്ടോക്കോൾ സൂചിപ്പിച്ചു എന്ന കാരണത്താൽ പങ്കിട്ട പോർട്ട് പ്രവർത്തനരഹിതമാക്കരുത്. രണ്ട് നടപടികളും സാധുവായ ജോലിയെ തടസ്സപ്പെടുത്തുന്നു, ഉപകരണത്തെ ആദ്യം അകത്തേക്ക് വിട്ട പ്രവേശന തീരുമാനം മെച്ചപ്പെടുത്തുന്നുമില്ല.

സ്വീകാര്യതാ പരീക്ഷ വ്യക്തമാണ്: അംഗീകൃത എൻഡ്പോയിന്റിന് അതിന്റെ പങ്കിന് ആവശ്യമായ പ്രവേശനം ഇപ്പോഴും ലഭിക്കുന്നു, അംഗീകരിക്കാത്ത ഉപകരണത്തിന് തുല്യമായ വഴി ലഭിക്കാനാവില്ല. നിരീക്ഷണം ആ അതിർത്തിയെ പിന്തുണയ്ക്കുന്നു, ആരുടെയും എൻക്രിപ്ഷൻ തകർക്കാതെയും അത് പരിശ്രമത്തിന് അർഹമാണ്.