Зөвшөөрөлгүй VPN чиглүүлэгч: тайлахаас өмнөх нэвтрэх хяналт

Дотоод свитч порт дээр гарч ирээд тэр даруй гарч буй VPN нээдэг үл мэдэгдэх чиглүүлэгч хамгийн чухал хяналтыг аль хэдийн давсан байна. Нэвтрэх эрх нь төхөөрөмж ер нь ашиглах боломжтой сүлжээний нэвтрэлт авах эсэхийг шийддэг, харин тайлах нь зөвхөн дараа нь юу хийснийг л хэлдэг. Энэ дарааллыг зөв барих нь боломжгүй шалгалтын асуудлыг ердийн портын бодлогын асуулт болгоно. Энэ нь мөн буцаах боломжтой үйлдэл ба үйлчилгээний тасалдлын ялгаа юм.

Нэвтрэх эрхийг порт дээр шийднэ

Туннель юу зөөж байгааг асуухаасаа өмнө төхөөрөмж ашиглах боломжтой холболтыг хэрхэн авсныг асуу. Ажиллаж буй хананы портод холбогдсон чиглүүлэгч эсвэл нээлттэй SSID-д нэгдсэн утасгүй клиент нь тухайн порт эсвэл SSID хэрэгжүүлдэг бодлогоор нэвтэрсэн. Хэрэв тэр бодлого «холбогдсон бүхэн ажиллаж буй VLAN авна» гэсэн бол VPN нь шинж тэмдэг бөгөөд эмзэг байдал биш.

DHCP түрээс нь зөвшөөрлийн бүртгэл биш. Хаяг авах эсвэл авахгүй байх нь хаяг хуваарилах үйлчилгээг тодорхойлдог, портын төлөвийг биш, бөгөөд олон загвар нь баталгаажаагүй төхөөрөмжид туслах үйлчилгээнд хүрэх боломж олгож, бусад бүгдийг нь татгалздаг. Түрээсийн хүснэгтийг хаяглалтын талаарх нотолгоо гэж үз, итгэлцлийн тухай биш.

Эдгээр мөрдөн байцаалтад гурван төрлийн нотолгоо холилддог: зөвшөөрөгдсөн хүн, зөвшөөрөгдсөн удирдлагатай төхөөрөмж, мөн бараа бүртгэлийн хуудас дээрх бичлэг. Портын бодлого нь эдгээрийн алийг нь хүлээж авахаа тодорхой хэлэх ёстой, учир нь хулгайлагдсан нэвтрэх мэдээлэл болон хуулбарласан MAC хаяг өөр өөр нөхцөлийг хангадаг.

Баталгаажсан порт үнэхээр юуийг шийддэг

IEEE 802.1X-д свитч эсвэл хандалтын цэг нь баталгаажуулагч бөгөөд хүсэлт гаргагчийн нэвтрэх мэдээллийг RADIUS клиент болгон төв үйлчилгээнд дамжуулдаг. RADIUS 802.1X шинж чанарууд тэр үр дүнд портыг зөвшөөрөх, загвараас хамааран сессийг тодорхой VLAN эсвэл тодорхой нягтлан бодох контекстэд байрлуулах боломж олгодог. Свитч нь бодлогын сервер буцаасан зүйлийг зөвхөн порт үүнийг хэрэгжүүлэхээр тохируулагдсан үед л хэрэгжүүлдэг.

Яг энэ сүүлийн заалтад нэвтрүүлэлтүүд чимээгүйгээр бүтэлгүйтдэг. Хяналт эсвэл бүртгэлийн горимд үлдээсэн порт нь төлөвлөсөн шийдвэрийг бүртгэж, урсгалыг гэсэн хэдий ч нэвтрүүлдэг бөгөөд энэ нь тайлан бүрт ажиллаж буй нэвтрүүлэлт мэт харагдана, хэн нэгэн удирдлагагүй чиглүүлэгч холбох хүртэл.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Хүсэлт гаргагчийг ажиллуулж чадахгүй төхөөрөмжүүдэд ерөнхий үл хамаарах биш, тусдаа шийдвэр хэрэгтэй. MAC баталгаажуулалтыг тойрох, бүртгэлийн портал эсвэл төхөөрөмжид зориулсан тусгай VLAN — эдгээр бүгд хууль ёсны хариулт, гэхдээ тус бүрийг санаатай сонгож баримтжуулах ёстой. Аль төхөөрөмжийн ангилал нөөц замыг хэрэглэж болох, хэн тэднийг зөвшөөрдөг болохыг бич. Баримтжуулаагүй нөөц зам нь удирдлагагүй чиглүүлэгч хэний ч зөвшөөрөлгүйгээр ажиллаж буй VLAN авах яг тэр зам юм.

Тайлахгүйгээр юу харж болох вэ

Шифрлэлт нь ачааг нуудаг, зан төлөвийг биш. Эх ба очих хаяг, порт, пакетын хугацаа, урсгалын хэмжээ, сессийн үргэлжлэх хугацаа нь тэдгээрийг цуглуулж буй хил дээр харагдаж хэвээр байх бөгөөд эдгээр мета өгөгдөл нь танихгүй төхөөрөмжийг порт болон гарч буй очих газартай холбоход ихэвчлэн хангалттай. Уншиж чадахгүй зүйл бол туннелийн доторх програм бөгөөд түлхүүргүйгээр ямар ч пакет барилт үүнийг өөрчлөхгүй.

Байнгын туннель нь өөрөө хорлонтой биш. Сайтуудын хоорондын холбоо, нөөц хуулбарын агентууд, алсын удирдлагын хэрэгслүүд нь зохион байгуулалтын дагуу тасралтгүй ажилладаг тул бүх шөнө үргэлжилсэн урсгал өөрөө юу ч нотолдоггүй. Үүнийг тухайн хөрөнгөд оноосон үүрэг болон түүний сегментэд зөвшөөрөгдсөн суурь шугамтай харьцуул.

Гарч буй урсгалыг санаатайгаар хязгаарла. Очих портыг зөвшөөрөх нь түүнийг ашиглаж буй програмыг зөвшөөрөхтэй ижил биш, ангилагчийн таамаг нь зөвшөөрлийн шийдвэр биш. Мөрдөн байцаалтад хэрэгтэй мета өгөгдлийг нэрлэсэн эзэн, хадгалах хугацаатай нь цуглуул, хэрэглэгч бүрийн бүх урсгалыг анхдагчаар бичлэгжүүлэхийн оронд.

Өөрийн хянаж буй хилийн дундуур хязгаарла

Ямар нэг зүйлийг тусгаарлахаасаа өмнө төхөөрөмж хэнийх, хаана холбогдсоныг батал. Дараа нь ослын журам ашиглан портыг хязгаарлах эсвэл сессийг цуцалж, нотолгоо шинэ байх хооронд холбогдох бүртгэлийг хадгал. Свитч портыг идэвхгүй болгоод дахин идэвхжүүлж болно; дөчин ажлын ширээнд үйлчилдэг үйлдвэрлэлийн дээд холбоог тийм амархан буцаах боломжгүй.

Төгсгөлийн цэг рүү эсрэг довтолгоо хийхгүй, скан VPN протоколыг сануулсан гэсэн шалтгаанаар хуваалцсан портыг идэвхгүй болгохгүй. Хоёр үйлдэл хоёулаа хууль ёсны ажлыг тасалж, төхөөрөмжийг анх нэвтрүүлсэн нэвтрэх шийдвэрийг сайжруулдаггүй.

Хүлээн авах шалгалт тодорхой: зөвшөөрөгдсөн төгсгөлийн цэг өөрийн үүрэгт шаардлагатай нэвтрэлтийг үргэлжлүүлэн авдаг, зөвшөөрөөгүй төхөөрөмж тэнцүү зам авч чадахгүй. Хяналт нь тэр хил хязгаарыг дэмждэг бөгөөд хэн нэгний шифрлэлтийг эвдэхгүйгээр ч хүчин чармайлт үнэ цэнэтэй.