VPN ഉപകരണ സ്ഥിതി പരിശോധന തടയുന്നില്ലേ? ആദ്യം റിപ്പോർട്ട് പിന്തുടരുക
നിങ്ങളുടെ എൻഡ്പോയിന്റ് ഏജന്റ് ആരോഗ്യകരമായ സ്ഥിതി റിപ്പോർട്ട് ചെയ്യുന്നു, എന്നിട്ടും ആന്തരിക ആപ്പ് തുറക്കുന്നു. കളക്ടർ, വിധി, തടയൽ എന്നിവയിലൂടെ കടന്ന്, ഒരു അഭ്യർത്ഥന കൊണ്ട് നിരസിക്കൽ തെളിയിക്കുക.
ആഴ്ചകൾക്ക് മുൻപ് ആന്റിവൈറസ് ഒപ്പുകൾ അപ്ഡേറ്റ് ചെയ്യുന്നത് നിർത്തിയ ലാപ്ടോപ്പ് ഇപ്പോഴും നിങ്ങളുടെ ആന്തരിക ആപ്പ് തുറക്കാൻ കഴിയുമെങ്കിൽ, നയരേഖയാണ് തെറ്റായ കാര്യം എന്നത് അപൂർവമാണ്. പ്രവേശനം നിരസിക്കുന്നതിന് മുൻപ് മൂന്ന് വേറിട്ട സംവിധാനങ്ങൾ യോജിക്കണം: എന്തോ എൻഡ്പോയിന്റ് അളക്കുന്നു, എന്തോ ആ അളവിനെ അനുവദിക്കുക അല്ലെങ്കിൽ നിരസിക്കുക എന്ന വിധിയാക്കുന്നു, എന്തോ യഥാർത്ഥത്തിൽ ട്രാഫിക് ഉപേക്ഷിക്കുന്നു. അനുസൃതമല്ലാത്ത ഉപകരണം എങ്ങനെയെങ്കിലും അകത്ത് കടക്കുമ്പോൾ, ആ കണ്ണികളിൽ കൃത്യമായി ഒന്ന് ഇല്ലാതിരിക്കുന്നു അല്ലെങ്കിൽ ഉണ്ടാകരുതാത്ത തെളിവിൽ വിശ്വസിക്കുന്നു. താഴെയുള്ള പരിശോധനകൾ ആ ക്രമത്തിൽ നടക്കുന്നു, ഓരോന്നിനും ഒരു നിർത്തൽ ബിന്ദുവുണ്ട്.
തടയൽ അവസാന ഘട്ടമാണ്, ആദ്യത്തേതല്ല
പ്രാമാണീകരണവും ഉപകരണ സ്ഥിതിയും വ്യത്യസ്ത ചോദ്യങ്ങൾക്ക് ഉത്തരം നൽകുന്നു. വിജയകരമായ ലോഗിൻ ഒരു ക്രെഡൻഷ്യൽ അവതരിപ്പിച്ചു എന്ന് തെളിയിക്കുന്നു; അത് അവതരിപ്പിച്ച യന്ത്രത്തിൽ എന്ത് സോഫ്റ്റ്വെയർ പ്രവർത്തിക്കുന്നു എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നില്ല. ഈ വിടവാണ് പകർത്തിയ ക്ലയന്റ് പ്രൊഫൈലിന് ആരോഗ്യകരമായി കാണുന്ന സെഷൻ അനാരോഗ്യകരമായ ഹോസ്റ്റിലേക്ക് കൊണ്ടുപോകാൻ അനുവാദം നൽകുന്നത്.
എൻഡ്പോയിന്റ് അനുസരണ പ്രവർത്തനത്തിന് ഈ ശൃംഖലയ്ക്ക് പദാവലി ഇതിനകം ഉണ്ട്. RFC 5209-ലെ NEA റഫറൻസ് മാതൃക ജോലിയെ കളക്ടർ, വിലയിരുത്തൽ ഘട്ടം, പ്രയോഗ ബിന്ദു എന്നിങ്ങനെ വിഭജിക്കുന്നു, കൂടാതെ സ്വന്തം സ്ഥിതിയെക്കുറിച്ച് കള്ളം പറയുന്ന ക്ലയന്റ് മാതൃകയ്ക്ക് പുറത്താണെന്ന് വ്യക്തമായി പറയുന്നു. ഈ വ്യവസ്ഥ ഡയഗ്രത്തേക്കാൾ പ്രധാനമാണ്: വിശ്വസ്ത പ്ലാറ്റ്ഫോം മൊഡ്യൂൾ സ്വയം റിപ്പോർട്ട് ചെയ്ത അളവിനെ വസ്തുതയാക്കി മാറ്റുന്നില്ല.
കളക്ടറെ പരിധിയുടെ കാര്യത്തിൽ സത്യസന്ധമായി നിർത്തുക. നിങ്ങളുടെ നയം പേരിടുന്ന സവിശേഷതകൾ, പ്രവേശനം ആവശ്യപ്പെടുന്ന ഉപകരണത്തിൽ റിപ്പോർട്ട് ചെയ്യണം, മറ്റ് കുറച്ച് കാര്യങ്ങൾ മാത്രം. ഇൻസ്റ്റാൾ ചെയ്ത ഓരോ പാക്കേജും പട്ടികപ്പെടുത്തുന്ന ഇൻവെന്ററി ഏജന്റ് സ്ഥിതി കളക്ടറിൽ നിന്ന് വ്യത്യസ്ത ഉപകരണമാണ്, വ്യത്യാസം ഒരേസമയം സൂക്ഷിപ്പിന്റെയും കൃത്യതയുടെയും പ്രശ്നമാണ്. റിപ്പോർട്ട് ഒരു ഉപകരണ ഐഡന്റിറ്റിയുമായി ബന്ധിപ്പിക്കാൻ കഴിയില്ലെങ്കിൽ, വിലയിരുത്തുന്നയാൾ ഏത് യന്ത്രത്തിനാണ് ഇപ്പോൾ അനുമതി നൽകിയതെന്ന് ഊഹിക്കുകയാണ്.
ചുവന്ന സ്ഥിതി കാണിക്കുന്ന ഡാഷ്ബോർഡ് നിയന്ത്രണമല്ല. നിരസിക്കപ്പെട്ട ഉപയോക്താവിന് ഇപ്പോഴും എവിടെയെത്താം എന്ന് ചോദിക്കുക: വിക്കി, ഫയൽ പങ്കിടൽ, ഡാറ്റാബേസ് പോർട്ട്? പരിഹാരത്തിന് ഒരു ഇടുങ്ങിയ ഉപരിതലം വേണം, ബാക്കിയെല്ലാം തടയലിന് പിന്നിലാണ്.
നിയമം വായിക്കുന്നതിന് മുൻപ് റിപ്പോർട്ട് വായിക്കുക
ക്ലയന്റിന്റെ പച്ച ടിക്കിൽ നിന്നല്ല, ഉറവിടത്തിൽ നിന്ന് ആരംഭിക്കുക. Windows-ൽ പ്രാദേശിക അളവ് Defender-ൽ നിന്നോ സ്വയം Security Center-ൽ രജിസ്റ്റർ ചെയ്ത ഉൽപ്പന്നത്തിൽ നിന്നോ വരുന്നു, രണ്ടും വെണ്ടർ കൺസോൾ ഇല്ലാതെ വായിക്കാം:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateരണ്ടാമത്തെ കമാൻഡ് productState എന്ന പൂർണ്ണസംഖ്യ നൽകുന്നു. അതിന്റെ ബിറ്റുകൾ അയഞ്ഞ രീതിയിൽ രേഖപ്പെടുത്തിയിരിക്കുന്നു, വെണ്ടർമാർ പ്രവർത്തനക്ഷമതയുടെയും സമകാലികതയുടെയും ഫ്ലാഗുകൾ വ്യത്യസ്തമായി പാക്ക് ചെയ്യുന്നു, അതിനാൽ വിശകലനം ചെയ്യുന്നതിന് പകരം സ്ഥിരീകരിക്കുക. തേർഡ് പാർട്ടി സ്യൂട്ടുകൾ അൺഇൻസ്റ്റാളിന് ശേഷവും Security Center എൻട്രി വിട്ടേക്കുന്നു, അത് ഇപ്പോൾ ഡിസ്കിലില്ലാത്ത സോഫ്റ്റ്വെയറിനെക്കുറിച്ച് റിപ്പോർട്ട് ചെയ്യുന്നു.
ആളുകൾ ഒഴിവാക്കുന്ന ഫീൽഡ് പ്രായമാണ്. ഒപ്പിന്റെ സമയമുദ്ര വിലയിരുത്തൽ നടത്തുന്ന യന്ത്രത്തിന്റെ ഘടികാരവുമായി താരതമ്യപ്പെടുത്തുമ്പോൾ മാത്രമേ അർത്ഥം നൽകുന്നുള്ളൂ, അതിനാൽ കണ്ണുകൊണ്ട് കണക്കാക്കുന്നതിന് പകരം അതിനെ ഇടവേളയാക്കുക:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursഇപ്പോൾ നയത്തിന് വായിക്കാൻ ഒരു സംഖ്യയുണ്ട്. നിങ്ങളുടെ നിയമം 72 മണിക്കൂർ പറയുന്നുവെങ്കിൽ, അത് ഉപയോഗിക്കുന്ന സംഖ്യ അതാണ്, ഒരു ആഴ്ച ഉറങ്ങിയ ലാപ്ടോപ്പ് ആരും ലേബൽ വ്യാഖ്യാനിക്കാതെ തന്നെ പരാജയപ്പെടുന്നു. കമാൻഡിന് അരികിൽ പരിധി രേഖപ്പെടുത്തുക, കാരണം എൻഡ്പോയിന്റ് ഉപകരണം മാറ്റുമ്പോൾ രണ്ടും ഒരുമിച്ച് നീങ്ങുന്നില്ല.
ഓരോ ഉപകരണ സ്ഥിതിയും എഴുതിയ വിധിയാക്കുക
സ്ഥിതിയെക്കുറിച്ചുള്ള മിക്ക തർക്കങ്ങളും യഥാർത്ഥത്തിൽ അജ്ഞാത വരിയെക്കുറിച്ചുള്ള തർക്കങ്ങളാണ്. ആദ്യ സംഭവത്തിന് മുൻപ് തീരുമാനിക്കുക, തെളിവ്, വിധി, ഉടമ എന്നിവ പേരിടുന്ന പട്ടികയിൽ, ആരും ഗേറ്റ്വേ കൺസോളിൽ തൽക്ഷണം തീരുമാനമെടുക്കാതിരിക്കാൻ.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
ഉൽപ്പന്നങ്ങൾ വേർതിരിയുന്നത് ഏറ്റവും താഴത്തെ വരിയിലാണ്. ചില ഗേറ്റ്വേകൾ കണക്ഷൻ നിരസിച്ച് കാരണം പറയുന്നു; മറ്റുള്ളവർ ടണൽ ഉയരാൻ അനുവദിച്ച് പരിമിത നയം പ്രയോഗിക്കുന്നു; കുറച്ച് ഗേറ്റ്വേകൾ അവസാനം അറിയപ്പെടുന്ന നല്ല റിപ്പോർട്ടിലേക്ക് മടങ്ങുന്നു. ആദ്യ രണ്ട് മാത്രമാണ് സംരക്ഷിക്കാവുന്നത്, നിങ്ങളുടേത് ഏതാണ് ചെയ്യുന്നതെന്ന് പരിശോധിക്കുന്നത് മൂല്യവത്താണ്.
ഐഡന്റിറ്റിയും അനുമതിയും അവരുടേതായ പാതകളിൽ നിർത്തുക. ഓരോ സ്ഥിതി പരീക്ഷണവും കടക്കുന്ന ലാപ്ടോപ്പിന് ആപ്പിനുള്ള ശരിയായ മനുഷ്യ അധികാരം ഇപ്പോഴും വേണം, ഉപകരണ സർട്ടിഫിക്കറ്റ് ഒരു കീയുടെ കൈവശം തെളിയിക്കുന്നു, ഫയൽസിസ്റ്റത്തിന്റെ സ്ഥിതിയല്ല. മൂന്നും ഒരു ബൂളിയനിൽ ഒതുക്കുന്നതാണ് ഹെൽപ്പ്ഡെസ്ക് അക്കൗണ്ടിന് ഉൽപ്പാദനത്തിലേക്ക് സ്ഥിരമായ പ്രവേശനം ലഭിക്കുന്ന വഴി.
പ്രയോഗ പാത ഡാഷ്ബോർഡ് കൊണ്ടല്ല, ഒരു അഭ്യർത്ഥന കൊണ്ട് പരിശോധിക്കുക
പ്രയോഗം അഭ്യർത്ഥനയുടെ ഒരു സ്വഭാവമാണ്, അതിനാൽ ഒരു അഭ്യർത്ഥന കൊണ്ട് അളക്കുക. അനുസൃതമല്ലാത്ത യന്ത്രം ടണലിൽ വയ്ക്കുക, യഥാർത്ഥ ഉപയോക്താവ് നടത്തുന്ന കോൾ നടത്തുക:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthതടയേണ്ട ഉപകരണത്തിൽ നിന്ന് 200 വന്നാൽ തീരുമാനം ഒരിക്കലും ഡാറ്റാ പാതയിൽ എത്തിയിട്ടില്ല എന്നർത്ഥം. രണ്ട് സാധാരണ കാരണങ്ങൾ: പരീക്ഷണ അക്കൗണ്ട് ഒരിക്കലും ചേർന്നിട്ടില്ലാത്ത ഗ്രൂപ്പിലാണ് നയം ഘടിപ്പിച്ചിരിക്കുന്നത്, അല്ലെങ്കിൽ VPN-ന്റെ ഉടമസ്ഥതയില്ലാത്ത റൂട്ടിലൂടെ ആപ്പ് എത്താം.
ആദ്യം റൂട്ടിംഗ് ഊഹം പരിശോധിക്കുക. ആന്തരിക നാമം ക്ലയന്റ് ഇതിനകം പ്രാദേശിക LAN വഴി എത്തുന്ന വിലാസത്തിലേക്ക് പരിഹരിക്കുന്നുവെങ്കിൽ, ടണൽ അപ്രസക്തമാണ്, ഒരു നയവും പ്രയോഗിക്കപ്പെടില്ല. ആ വിലാസത്തെ ഗേറ്റ്വേ തള്ളുന്ന റൂട്ടുമായി താരതമ്യം ചെയ്യുക. OpenVPN-ൽ ഓരോ ക്ലയന്റിന്റെയും നയം പൊതു നാമത്തിൽ കീ ചെയ്ത ഫയലുകളിലാണ്, അതിനാൽ പരിശോധിക്കാൻ എളുപ്പമാണ്:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17disable അടങ്ങിയ ഫയൽ ആ ക്ലയന്റിനെ പൂർണ്ണമായും വിച്ഛേദിക്കുന്നു, push "route ..." വരി എവിടെയെത്താം എന്നത് ചുരുക്കുന്നു. രണ്ടും പ്രയോഗമാണ്, രണ്ടും റിപ്പോർട്ട് ഡീബഗ് ചെയ്യുന്നവർക്ക് കാണാം.
ഒരു പരീക്ഷണ അക്കൗണ്ടിൽ നാല് കേസുകൾ പരിശോധിക്കുക
അവസാന പരിശോധന ഒരു ചെറിയ മാട്രിക്സാണ്, സുഖകരമായ പാതയല്ല. ഒരു പരീക്ഷണ അക്കൗണ്ടിനെ നാല് സ്ഥിതികളിലൂടെ കടത്തിവിടുക: നിലവിലുള്ളത്, കാലഹരണപ്പെട്ട ഒപ്പ്, സംരക്ഷണം ഓഫ്, ഏജന്റ് ഇൻസ്റ്റാൾ ചെയ്തിട്ടില്ല. ഓരോന്നിനും വിലയിരുത്തൽ ലോഗിൽ വിധി, ആപ്പ് നൽകുന്ന HTTP നില, പരിഹാര പേജ് ലോഡ് ചെയ്തോ എന്നിവ രേഖപ്പെടുത്തുക.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}രണ്ട് വിശദാംശങ്ങൾ വിട്ടുപോകാൻ എളുപ്പമാണ്. ആദ്യം പുനഃസംപ്രേഷണം: യന്ത്രം ആരോഗ്യകരമായിരുന്നപ്പോൾ എടുത്ത റിപ്പോർട്ട് അതേ ഉപകരണത്തിലെ പിന്നീടുള്ള സെഷന് സ്വീകരിക്കരുത്, അതിനാൽ നിലവിലെ കണക്ഷനുമായി ബന്ധിപ്പിച്ച സമയമുദ്ര തിരയുക. പിന്നെ നീക്കം: ഏജന്റ് അൺഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ പഴയ റിപ്പോർട്ടിന് സമാനമായ നിരസിക്കൽ വരണം, വ്യക്തമായ പാസ് അല്ല, ഈ കേസാണ് ഏറ്റവും കൂടുതൽ ഒരിക്കലും പരിശോധിക്കാത്തത്.
മാട്രിക്സ് പട്ടികയുമായി യോജിക്കുമ്പോൾ, ഇനി ഗേറ്റ്വേ നടത്തുന്നയാൾക്ക് മൂന്ന് കാര്യങ്ങൾ കൈമാറുക: കമാൻഡുകൾ, പരിധി, പ്രതീക്ഷിക്കുന്ന നാല് ഫലങ്ങൾ. ഈ കൈമാറ്റമാണ് യഥാർത്ഥ ഡെലിവറബിൾ, കാരണം നയരേഖയിൽ മാത്രം ജീവിക്കുന്ന സ്ഥിതി രൂപകൽപ്പന എൻഡ്പോയിന്റ് ഉപകരണം അതിന്റെ റിപ്പോർട്ടിംഗ് ഫീൽഡ് മാറ്റുമ്പോൾ ആദ്യമായി വ്യതിചലിക്കുന്നു.