Penghala VPN tanpa kebenaran: kawalan kemasukan sebelum penyahsulitan

Penghala asing yang muncul pada port suis dalaman dan terus membuka VPN keluar sudah melepasi kawalan yang paling penting. Kemasukan menentukan sama ada peranti mendapat akses rangkaian yang boleh digunakan, manakala penyahsulitan hanya memberitahu apa yang dilakukannya selepas itu. Mendapatkan urutan itu betul menukar masalah pemeriksaan yang mustahil menjadi soalan dasar port yang rutin. Ia juga perbezaan antara tindakan boleh balik dan gangguan perkhidmatan.

Kemasukan ditentukan pada port

Tanya bagaimana peranti memperoleh sambungan yang boleh digunakan sebelum anda bertanya apa yang dibawa oleh terowongnya. Penghala yang disambungkan ke port dinding aktif, atau klien wayarles yang menyertai SSID terbuka, telah dimasukkan oleh dasar yang digunakan oleh port atau SSID itu. Jika dasar itu berbunyi "apa sahaja yang dipasang mendapat VLAN yang berfungsi", VPN ialah gejala, bukan kelemahan.

Pajakan DHCP bukan rekod kebenaran. Menerima alamat, atau gagal menerimanya, menerangkan perkhidmatan pemberian alamat, bukan keadaan port, dan banyak reka bentuk membenarkan peranti tidak disahkan mencapai perkhidmatan pembantu sambil menafikan segala yang lain. Anggap jadual pajakan sebagai bukti tentang pengalamatan, bukan tentang kepercayaan.

Tiga jenis bukti bercampur dalam siasatan ini: orang yang diluluskan, peranti terurus yang diluluskan, dan catatan pada helaian inventori. Dasar port harus jelas tentang mana satunya yang diterimanya, kerana kelayakan yang dicuri dan alamat MAC yang diklon memenuhi syarat yang berbeza.

Apa yang sebenarnya ditentukan oleh port yang disahkan

Dengan IEEE 802.1X, suis atau titik akses ialah pengesah, dan ia memajukan kelayakan pemohon kepada perkhidmatan pusat sebagai klien RADIUS. Atribut RADIUS 802.1X membenarkan hasil itu memberi kebenaran kepada port dan, bergantung pada reka bentuk, meletakkan sesi dalam VLAN tertentu atau konteks perakaunan tertentu. Suis menguatkuasakan apa yang dikembalikan oleh pelayan dasar hanya jika port dikonfigurasikan untuk menguatkuasakannya.

Pada fasal terakhir itulah penggunaan gagal secara senyap. Port yang ditinggalkan dalam mod pemantauan atau pengelogan merekodkan keputusan yang sepatutnya dan masih meloloskan trafik, yang dalam setiap laporan kelihatan seperti penggunaan yang berfungsi sehingga seseorang memasang penghala tidak terurus.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Peranti yang tidak boleh menjalankan pemohon memerlukan keputusan berasingan, bukan pengecualian menyeluruh. Memintas pengesahan MAC, portal pendaftaran atau VLAN peranti khusus semuanya jawapan yang sah, tetapi setiap satu mesti dipilih dengan sengaja dan didokumenkan. Tulis kelas peranti mana yang boleh menggunakan laluan sandaran dan siapa yang meluluskannya. Laluan sandaran yang tidak didokumenkan ialah tepat cara penghala tidak terurus mendapat VLAN yang berfungsi tanpa kelulusan sesiapa.

Apa yang boleh anda lihat tanpa menyahsulit

Penyulitan menyembunyikan muatan, bukan tingkah laku. Alamat sumber dan destinasi, port, masa paket, isipadu aliran dan tempoh sesi kekal kelihatan pada sempadan tempat anda mengumpulnya, dan metadata itu selalunya cukup untuk mengaitkan peranti asing dengan port dan destinasi keluar. Apa yang tidak boleh anda baca ialah aplikasi di dalam terowong, dan tiada tangkapan paket mengubahnya tanpa kunci.

Terowong yang berterusan tidak semestinya berniat jahat. Pautan antara tapak, ejen sandaran dan alat pentadbiran jauh berjalan berterusan mengikut reka bentuk, jadi aliran yang bertahan sepanjang malam tidak membuktikan apa-apa dengan sendirinya. Bandingkannya dengan peranan yang diberikan kepada aset itu dan dengan garis dasar yang diluluskan untuk segmennya.

Hadkan keluar dengan sengaja. Membenarkan port destinasi tidak sama dengan meluluskan aplikasi yang menggunakannya, dan tekaan pengelas bukan keputusan kebenaran. Kumpulkan metadata yang anda perlukan untuk siasatan, dengan pemilik bernama dan tetingkap penyimpanan, bukannya menangkap seluruh trafik setiap pengguna secara lalai.

Hadkan melalui sempadan yang anda kawal

Sebelum mengasingkan apa-apa, sahkan siapa pemilik peranti dan di mana ia dipasang. Kemudian gunakan proses insiden untuk menyekat port atau membatalkan sesi, sambil memelihara log berkaitan selagi bukti masih segar. Port suis boleh dinyahdayakan dan diaktifkan semula; pautan naik pengeluaran yang melayani empat puluh meja tidak boleh dibatalkan semudah itu.

Jangan menyerang balas titik akhir dan jangan lumpuhkan port kongsi hanya kerana imbasan mencadangkan protokol VPN. Kedua-dua tindakan mengganggu kerja sah tanpa memperbaiki keputusan kemasukan yang membenarkan peranti masuk pada mulanya.

Ujian penerimaan itu konkrit: titik akhir yang diluluskan masih mendapat akses yang diperlukan oleh peranannya, dan peranti yang tidak diluluskan tidak boleh memperoleh laluan yang setara. Pemantauan menyokong sempadan itu, dan ia tidak perlu memecahkan penyulitan sesiapa untuk berbaloi dengan usaha.