Blokker éin eining frå VPN utan å deaktivere heile kontoen

Éin tilsett, to berebile datamaskiner, og berre éi av dei skal miste tilgangen. Å deaktivere kontoen er den openberre spaken, men han straffar feil omfang, medan sletting av ein lagra profil på endepunktet er eit framlegg og ikkje ein kontroll. Avgjerda kjem ned til tre vilkår: om det finst ein einingidentitet som VPN-en kan verifisere, om nettopp denne tilkoplinga faktisk vurderer han, og kva du vil skal skje med eininga i staden for med personen. Svar på dei i den rekkjefølgja, og handhevinga vel som regel seg sjølv.

Første vilkår: finst det einingbevis som VPN-en kan verifisere?

Ei kjeldeadresse blir delt bak NAT-en på kontoret og endrar seg på mobilnett. Eit vertsnamn er kva eininga påstår, ein MAC-adresse blir trivielt forfalska, og ein registerverdi kan skrivast av alt med lokale rettar. Ingen av desse er ein identitet før noko verifiserer han. Ein separat registrert eininglegitimasjon, som eit sertifikat utstedt til det endepunktet, er det einaste alternativet som gjev tilbakekalling eit mål som er smalare enn brukarkontoen.

Legitimasjonen tel berre om tilkoplinga autentiserer med han og validerer kjeda ved kvart forsøk. Ei fil som ligg i lageret på maskina, beviser ingenting.

Andre vilkår: vurderer denne tilkoplinga han?

Endepunktattributt er ikkje universelle. På ein ASA skil Ciscos ASDM DAP-rettleiing brukar-AAA-informasjon frå endepunktvurderingsattributt, og kva attributt som er tilgjengelege avheng av fjernaksessprotokollen som blir brukt, posture-verktøya som er sette i verk og lisensen. Ein registerkontroll treng den støtta innsamlingsvegen, og sjølv då rapporterer han kva endepunktverktøyet såg, ikkje at maskina er den du stolar på.

Så det praktiske spørsmålet er smalt: på denne tunnelen, med denne klienten og denne posture-agenten, kva attributt kjem fylt ut og påliteleg? Om svaret er ingen, vil ein policy skriven mot det matche ingenting eller alt, og begge utfalla er verre enn kontolåsen du unngjekk.

Tredje vilkår: avvising, utbetring eller smalare tilgang?

Tre utfall er tilgjengelege, og dei er ikkje utskiftbare. Du kan avslutte økta, som fjernar tilgangen heilt; du kan setje eininga i karantene i ein tilstand der ho berre når utbetringsressursar; eller du kan la økta stå og skjere ressurs-ACL-en ned til dei få tinga eininga framleis treng. DAP-økthandlingar og ressurs-ACL-ar svarar på ulike spørsmål, så valet handlar om kor mykje følgjeskade personen skal bere.

For ein tapt eller stolen berebar datamaskin er svaret vanlegvis avslutting. For ei maskin som strøyk på ein posture-kontroll, er utbetring venlegare og like effektiv.

Avgjer kva som skjer når bevisa manglar

Standardvegen tyder meir enn regelen du skreiv for det gode tilfellet. Om det venta attributtet aldri kjem fordi posture-agenten er øydelagd, kan ein policy som krev det falle gjennom til ein standard som slepp økta inn. Les standardresultatet og test tilfellet utan bevis medvite, for det er tilstanden ein åtakar som fjernar agenten vil presentere.

Fleire samsvarande DAP-poster blir aggregerte i staden for å bli avgjorde av enkel første-treff-rekkjefølgje, og ACL-prioriteten deira er ein separat mekanisme frå postvalet. Les skildringa av aggregering i rettleiinga før du går ut frå at den strengaste posten vinn.

Handter økter som allereie finst, og test deretter begge einingane

Å endre ein opptaksregel eller kalle attende ein legitimasjon skildrar ikkje kva som skjer med ei økt som allereie er etablert og fører trafikk. Om umiddelbar fjerning er kravet, følg den støtta prosedyren til implementasjonen for øktslutt og revurdering i staden for å vente på neste attilkopling. Dette er trinnet som oftast blir hoppa over under ei hending, og det er skilnaden mellom ein policy og eit utfall.

Test med den same tillatne brukaren på begge maskinene under ein godkjend kontroll. Den blokkerte eininga skal få nøyaktig den tiltenkte avvisinga eller utbetringa, og den andre skal berre halde på dei autoriserte ressursane sine. Det verifiserer eininggrensa utan å kalle attende den andre godkjende tilgangen til personen.

Om du ikkje kan gjere dei to resultata ulike, er problemet bevisa, ikkje policyen, og ingen regeltilpassing vil rette det.