अनधिकृत VPN राउटर: डिक्रिप्शनपूर्वी प्रवेश नियंत्रण

अंतर्गत स्विच पोर्टवर दिसून लगेच बाहेर जाणारे VPN उघडणारा अनोळखी राउटर आधीच सर्वात महत्त्वाचे नियंत्रण पार करून गेला आहे। प्रवेश ठरवतो की उपकरणाला वापरण्यायोग्य नेटवर्क प्रवेश मिळेल की नाही, तर डिक्रिप्शन फक्त त्यानंतर त्याने काय केले ते सांगते। हा क्रम बरोबर ठेवल्यास अशक्य तपासणीची समस्या नेहमीच्या पोर्ट-धोरणाच्या प्रश्नात बदलते। हे परतावा देण्याजोगी कृती आणि सेवा बंद पडणे यातील फरकही आहे।

प्रवेश पोर्टवरच ठरतो

टनेल काय वाहून नेते हे विचारण्यापूर्वी उपकरणाला वापरण्यायोग्य जोडणी कशी मिळाली ते विचारा। सक्रिय भिंत पोर्टला जोडलेला राउटर, किंवा खुल्या SSIDला जोडलेला वायरलेस क्लायंट, तो पोर्ट किंवा SSID लागू करत असलेल्या धोरणानेच प्रवेश मिळाला। ते धोरण "जे जोडले जाते त्याला कार्यरत VLAN मिळते" असे असेल, तर VPN लक्षण आहे, कमजोरी नाही।

DHCP भाडेपट्टा हा अधिकृततेचा नोंद नाही। पत्ता मिळणे किंवा न मिळणे हे पत्ता वाटप सेवेचे वर्णन करते, पोर्टच्या स्थितीचे नाही, आणि अनेक रचना अनधिप्रमाणित उपकरणाला सहाय्यक सेवेपर्यंत पोहोचू देतात व बाकी सर्व नाकारतात। भाडेपट्टा तक्त्याकडे पत्तापद्धतीचा पुरावा म्हणून पाहा, विश्वासाचा नाही।

या तपासण्यांमध्ये तीन प्रकारचे पुरावे मिसळतात: मंजूर व्यक्ती, मंजूर व्यवस्थापित उपकरण आणि मालमत्ता यादीतील एक नोंद। पोर्ट धोरणाने यापैकी कोणते स्वीकारते हे स्पष्ट सांगावे, कारण चोरलेली ओळखपत्रे आणि क्लोन केलेला MAC पत्ता वेगवेगळ्या अटी पूर्ण करतात।

प्रमाणित पोर्ट प्रत्यक्षात काय ठरवतो

IEEE 802.1X मध्ये स्विच किंवा प्रवेश बिंदू हा प्रमाणक असतो, आणि तो अर्जदाराची ओळखपत्रे RADIUS क्लायंट म्हणून केंद्रीय सेवेकडे पाठवतो। RADIUS 802.1X वैशिष्ट्ये त्या निकालाला पोर्ट अधिकृत करू देतात आणि रचनेनुसार सत्र विशिष्ट VLAN किंवा विशिष्ट लेखा संदर्भात ठेवतात। स्विच धोरण सर्व्हर जे परत करतो ते पोर्ट तसे करण्यासाठी संरचित असेल तरच लागू करतो।

याच शेवटच्या अटीत उपयोजन शांतपणे अपयशी ठरतात। देखरेख किंवा नोंदणी मोडमध्ये ठेवलेला पोर्ट अपेक्षित निर्णय नोंदवतो आणि तरीही रहदारी जाऊ देतो, जे प्रत्येक अहवालात कार्यरत उपयोजनासारखे दिसते—जोपर्यंत कोणी अनियंत्रित राउटर जोडत नाही।

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

अर्जदार चालवू न शकणाऱ्या उपकरणांना सर्वसाधारण सूट नाही, तर वेगळा निर्णय हवा। MAC प्रमाणीकरण बायपास, नोंदणी पोर्टल किंवा समर्पित उपकरण-VLAN—सर्व वैध उत्तरे आहेत, पण प्रत्येकाची जाणीवपूर्वक निवड करून नोंद करावी। कोणते उपकरण वर्ग पर्यायी मार्ग वापरू शकतात आणि कोण त्यांना मंजुरी देतो हे लिहा। अनोंदित पर्यायी मार्ग म्हणजेच अनियंत्रित राउटरला कोणाच्याही मंजुरीशिवाय कार्यरत VLAN मिळण्याचा मार्ग।

डिक्रिप्शनशिवाय काय दिसते

एन्क्रिप्शन पेलोड लपवते, वर्तन नाही। स्रोत व गंतव्य पत्ते, पोर्ट, पॅकेटची वेळ, प्रवाहाचे प्रमाण आणि सत्राचा कालावधी जेथे तुम्ही ते गोळा करता तेथे दिसत राहतात, आणि ते मेटाडेटा अनोळखी उपकरणाला पोर्ट व बाहेर जाणाऱ्या गंतव्याशी जोडण्यासाठी बऱ्याचदा पुरतो। जे वाचता येत नाही ते टनेलमधील अनुप्रयोग आहे, आणि किल्ल्यांशिवाय कोणतेही पॅकेट कॅप्चर ते बदलत नाही।

सतत चालणारे टनेल आपोआप दुर्भावनापूर्ण नसते। साइट-ते-साइट दुवे, बॅकअप एजंट आणि दूरस्थ प्रशासन साधने रचनेनुसार सतत चालतात, म्हणून रात्रभर चालणारा प्रवाह स्वतःच काहीही सिद्ध करत नाही। त्याची तुलना त्या मालमत्तेला दिलेल्या भूमिकेशी आणि तिच्या विभागासाठी मंजूर आधाररेषेशी करा।

बाहेर जाणारा रहदारी जाणीवपूर्वक मर्यादित करा। गंतव्य पोर्टला परवानगी देणे म्हणजे तो वापरणाऱ्या अनुप्रयोगाला मंजुरी देणे नाही, आणि वर्गीकरणकर्त्याचा अंदाज अधिकृततेचा निर्णय नाही। तपासणीसाठी आवश्यक मेटाडेटा नामनिर्देशित मालक व जतन कालावधीसह गोळा करा, प्रत्येक वापरकर्त्याचा संपूर्ण रहदारी डीफॉल्टने कॅप्चर करण्याऐवजी।

तुम्ही नियंत्रित करता त्या सीमेमार्फत आवर घाला

काहीही वेगळे करण्यापूर्वी उपकरण कोणाचे आहे आणि कुठे जोडले आहे ते निश्चित करा। नंतर घटना प्रक्रिया वापरून पोर्ट मर्यादित करा किंवा सत्र रद्द करा, पुरावे ताजे असतानाच संबंधित नोंदी जपून ठेवा। स्विच पोर्ट बंद करून पुन्हा सुरू करता येतो; चाळीस डेस्कांना सेवा देणारा उत्पादन अपलिंक इतक्या सहजपणे पूर्ववत करता येत नाही।

एंडपॉइंटवर प्रतिहल्ला करू नका आणि स्कॅनने VPN प्रोटोकॉल सुचवला म्हणून शेअर्ड पोर्ट बंद करू नका। दोन्ही कृती वैध कामात व्यत्यय आणतात, आणि उपकरणाला सुरुवातीला आत जाऊ दिलेल्या प्रवेश निर्णयात सुधारणा करत नाहीत।

स्वीकृती चाचणी ठोस आहे: मंजूर एंडपॉइंटला त्याच्या भूमिकेसाठी आवश्यक प्रवेश अजूनही मिळतो, आणि अनुमोदित नसलेले उपकरण समतुल्य मार्ग मिळवू शकत नाही। देखरेख त्या सीमेला आधार देते, आणि कोणाचेही एन्क्रिप्शन न तोडताही ते श्रमाला पात्र आहे।