ਅਣਅਧਿਕਾਰਤ VPN ਰਾਊਟਰ: ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਪਹਿਲਾਂ ਦਾਖਲਾ ਨਿਯੰਤਰਣ

ਅੰਦਰੂਨੀ ਸਵਿੱਚ ਪੋਰਟ ਉੱਤੇ ਦਿਖ ਕੇ ਤੁਰੰਤ ਬਾਹਰ ਜਾਣ ਵਾਲਾ VPN ਖੋਲ੍ਹਣ ਵਾਲਾ ਅਣਜਾਣ ਰਾਊਟਰ ਪਹਿਲਾਂ ਹੀ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਨਿਯੰਤਰਣ ਪਾਰ ਕਰ ਚੁੱਕਾ ਹੈ। ਦਾਖਲਾ ਤੈਅ ਕਰਦਾ ਹੈ ਕਿ ਡਿਵਾਈਸ ਨੂੰ ਵਰਤੋਂਯੋਗ ਨੈੱਟਵਰਕ ਪਹੁੰਚ ਮਿਲੇਗੀ ਜਾਂ ਨਹੀਂ, ਜਦਕਿ ਡੀਕ੍ਰਿਪਸ਼ਨ ਸਿਰਫ਼ ਦੱਸਦਾ ਹੈ ਕਿ ਉਸ ਤੋਂ ਬਾਅਦ ਇਸਨੇ ਕੀ ਕੀਤਾ। ਇਹ ਕ੍ਰਮ ਸਹੀ ਰੱਖਣ ਨਾਲ ਇੱਕ ਅਸੰਭਵ ਜਾਂਚ ਸਮੱਸਿਆ ਆਮ ਪੋਰਟ-ਨੀਤੀ ਦੇ ਸਵਾਲ ਵਿੱਚ ਬਦਲ ਜਾਂਦੀ ਹੈ। ਇਹ ਉਲਟਾਉਣਯੋਗ ਕਾਰਵਾਈ ਅਤੇ ਸੇਵਾ ਠੱਪ ਹੋਣ ਵਿਚਕਾਰਲਾ ਫ਼ਰਕ ਵੀ ਹੈ।

ਦਾਖਲਾ ਪੋਰਟ ਉੱਤੇ ਹੀ ਤੈਅ ਹੁੰਦਾ ਹੈ

ਟਨਲ ਕੀ ਢੋਂਦੀ ਹੈ ਇਹ ਪੁੱਛਣ ਤੋਂ ਪਹਿਲਾਂ ਪੁੱਛੋ ਕਿ ਡਿਵਾਈਸ ਨੂੰ ਵਰਤੋਂਯੋਗ ਕਨੈਕਸ਼ਨ ਕਿਵੇਂ ਮਿਲਿਆ। ਸਰਗਰਮ ਵਾਲ ਪੋਰਟ ਨਾਲ ਜੁੜਿਆ ਰਾਊਟਰ, ਜਾਂ ਖੁੱਲ੍ਹੇ SSID ਵਿੱਚ ਸ਼ਾਮਲ ਹੋਇਆ ਵਾਇਰਲੈੱਸ ਕਲਾਇੰਟ, ਉਸੇ ਨੀਤੀ ਰਾਹੀਂ ਦਾਖਲ ਹੋਇਆ ਜੋ ਉਹ ਪੋਰਟ ਜਾਂ SSID ਲਾਗੂ ਕਰਦਾ ਹੈ। ਜੇ ਉਹ ਨੀਤੀ "ਜੋ ਵੀ ਜੁੜਦਾ ਹੈ ਉਸਨੂੰ ਕੰਮ ਕਰਨ ਵਾਲਾ VLAN ਮਿਲਦਾ ਹੈ" ਹੈ, ਤਾਂ VPN ਲੱਛਣ ਹੈ, ਕਮਜ਼ੋਰੀ ਨਹੀਂ।

DHCP ਲੀਜ਼ ਕੋਈ ਅਧਿਕਾਰ ਰਿਕਾਰਡ ਨਹੀਂ ਹੈ। ਪਤਾ ਮਿਲਣਾ ਜਾਂ ਨਾ ਮਿਲਣਾ ਪਤਾ-ਵੰਡ ਸੇਵਾ ਦਾ ਵਰਣਨ ਕਰਦਾ ਹੈ, ਪੋਰਟ ਦੀ ਸਥਿਤੀ ਦਾ ਨਹੀਂ, ਅਤੇ ਕਈ ਡਿਜ਼ਾਈਨ ਅਣਪ੍ਰਮਾਣਿਤ ਡਿਵਾਈਸ ਨੂੰ ਸਹਾਇਕ ਸੇਵਾ ਤੱਕ ਪਹੁੰਚਣ ਦਿੰਦੇ ਹਨ ਪਰ ਬਾਕੀ ਸਭ ਨੂੰ ਰੱਦ ਕਰਦੇ ਹਨ। ਲੀਜ਼ ਸਾਰਣੀ ਨੂੰ ਪਤਾ-ਨਿਰਧਾਰਨ ਦੇ ਸਬੂਤ ਵਜੋਂ ਵੇਖੋ, ਭਰੋਸੇ ਦੇ ਨਹੀਂ।

ਇਹਨਾਂ ਜਾਂਚਾਂ ਵਿੱਚ ਤਿੰਨ ਕਿਸਮ ਦੇ ਸਬੂਤ ਮਿਲ ਜਾਂਦੇ ਹਨ: ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਵਿਅਕਤੀ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਪ੍ਰਬੰਧਿਤ ਡਿਵਾਈਸ ਅਤੇ ਸੰਪਤੀ ਸੂਚੀ ਵਿੱਚ ਇੱਕ ਐਂਟਰੀ। ਪੋਰਟ ਨੀਤੀ ਨੂੰ ਸਪਸ਼ਟ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇਹ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕਿਹੜੇ ਸਵੀਕਾਰ ਕਰਦੀ ਹੈ, ਕਿਉਂਕਿ ਚੋਰੀ ਕੀਤੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ ਅਤੇ ਕਲੋਨ ਕੀਤਾ MAC ਪਤਾ ਵੱਖਰੀਆਂ ਸ਼ਰਤਾਂ ਪੂਰੀਆਂ ਕਰਦੇ ਹਨ।

ਪ੍ਰਮਾਣਿਤ ਪੋਰਟ ਅਸਲ ਵਿੱਚ ਕੀ ਤੈਅ ਕਰਦਾ ਹੈ

IEEE 802.1X ਵਿੱਚ ਸਵਿੱਚ ਜਾਂ ਐਕਸੈਸ ਪੁਆਇੰਟ ਪ੍ਰਮਾਣਕਰਤਾ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਇਹ ਬੇਨਤੀਕਰਤਾ ਦੇ ਪ੍ਰਮਾਣ-ਪੱਤਰ RADIUS ਕਲਾਇੰਟ ਵਜੋਂ ਕੇਂਦਰੀ ਸੇਵਾ ਨੂੰ ਭੇਜਦਾ ਹੈ। RADIUS 802.1X ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਉਸ ਨਤੀਜੇ ਨੂੰ ਪੋਰਟ ਅਧਿਕਾਰਤ ਕਰਨ ਦਿੰਦੀਆਂ ਹਨ ਅਤੇ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਸੈਸ਼ਨ ਨੂੰ ਕਿਸੇ ਖਾਸ VLAN ਜਾਂ ਖਾਸ ਲੇਖਾ ਸੰਦਰਭ ਵਿੱਚ ਰੱਖਦੀਆਂ ਹਨ। ਸਵਿੱਚ ਨੀਤੀ ਸਰਵਰ ਜੋ ਵਾਪਸ ਕਰਦਾ ਹੈ ਉਹ ਤਾਂ ਹੀ ਲਾਗੂ ਕਰਦਾ ਹੈ ਜੇ ਪੋਰਟ ਉਸਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਸੰਰਚਿਤ ਹੋਵੇ।

ਇਸੇ ਆਖਰੀ ਸ਼ਰਤ ਉੱਤੇ ਤੈਨਾਤੀਆਂ ਚੁੱਪਚਾਪ ਫੇਲ੍ਹ ਹੁੰਦੀਆਂ ਹਨ। ਨਿਗਰਾਨੀ ਜਾਂ ਲੌਗਿੰਗ ਮੋਡ ਵਿੱਚ ਛੱਡੀ ਪੋਰਟ ਸੰਭਾਵਿਤ ਫ਼ੈਸਲਾ ਦਰਜ ਕਰਦੀ ਹੈ ਅਤੇ ਫਿਰ ਵੀ ਟ੍ਰੈਫਿਕ ਲੰਘਣ ਦਿੰਦੀ ਹੈ, ਜੋ ਹਰ ਰਿਪੋਰਟ ਵਿੱਚ ਕੰਮ ਕਰਦੀ ਤੈਨਾਤੀ ਵਾਂਗ ਦਿਸਦੀ ਹੈ—ਜਦ ਤੱਕ ਕੋਈ ਅਪ੍ਰਬੰਧਿਤ ਰਾਊਟਰ ਨਾ ਲਗਾ ਦੇ।

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

ਜਿਹੜੇ ਡਿਵਾਈਸ ਬੇਨਤੀਕਰਤਾ ਨਹੀਂ ਚਲਾ ਸਕਦੇ ਉਹਨਾਂ ਨੂੰ ਆਮ ਛੋਟ ਨਹੀਂ, ਵੱਖਰਾ ਫ਼ੈਸਲਾ ਚਾਹੀਦਾ ਹੈ। MAC ਪ੍ਰਮਾਣੀਕਰਨ ਬਾਈਪਾਸ, ਰਜਿਸਟ੍ਰੇਸ਼ਨ ਪੋਰਟਲ ਜਾਂ ਸਮਰਪਿਤ ਡਿਵਾਈਸ-VLAN—ਸਾਰੇ ਜਾਇਜ਼ ਜਵਾਬ ਹਨ, ਪਰ ਹਰ ਇੱਕ ਨੂੰ ਜਾਣਬੁੱਝ ਕੇ ਚੁਣਨਾ ਅਤੇ ਦਸਤਾਵੇਜ਼ੀਕਰਨ ਕਰਨਾ ਪਵੇਗਾ। ਲਿਖੋ ਕਿ ਕਿਹੜੀਆਂ ਡਿਵਾਈਸ ਸ਼੍ਰੇਣੀਆਂ ਵਿਕਲਪਿਕ ਰਾਹ ਵਰਤ ਸਕਦੀਆਂ ਹਨ ਅਤੇ ਕੌਣ ਉਹਨਾਂ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦਿੰਦਾ ਹੈ। ਅਦਸਤਾਵੇਜ਼ੀ ਵਿਕਲਪਿਕ ਰਾਹ ਹੀ ਅਪ੍ਰਬੰਧਿਤ ਰਾਊਟਰ ਦਾ ਕਿਸੇ ਦੀ ਮਨਜ਼ੂਰੀ ਤੋਂ ਬਿਨਾਂ ਕੰਮ ਕਰਨ ਵਾਲਾ VLAN ਲੈਣ ਦਾ ਤਰੀਕਾ ਹੈ।

ਡੀਕ੍ਰਿਪਸ਼ਨ ਤੋਂ ਬਿਨਾਂ ਕੀ ਵੇਖ ਸਕਦੇ ਹੋ

ਇਨਕ੍ਰਿਪਸ਼ਨ ਪੇਲੋਡ ਲੁਕਾਉਂਦਾ ਹੈ, ਵਿਵਹਾਰ ਨਹੀਂ। ਸਰੋਤ ਅਤੇ ਮੰਜ਼ਿਲ ਪਤੇ, ਪੋਰਟ, ਪੈਕਟ ਦਾ ਸਮਾਂ, ਪ੍ਰਵਾਹ ਦੀ ਮਾਤਰਾ ਅਤੇ ਸੈਸ਼ਨ ਦੀ ਮਿਆਦ ਉਸੇ ਸੀਮਾ ਉੱਤੇ ਦਿਸਦੇ ਰਹਿੰਦੇ ਹਨ ਜਿੱਥੇ ਤੁਸੀਂ ਉਹਨਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਦੇ ਹੋ, ਅਤੇ ਉਹ ਮੈਟਾਡੇਟਾ ਅਕਸਰ ਅਣਜਾਣ ਡਿਵਾਈਸ ਨੂੰ ਪੋਰਟ ਅਤੇ ਬਾਹਰ ਜਾਣ ਵਾਲੀ ਮੰਜ਼ਿਲ ਨਾਲ ਜੋੜਨ ਲਈ ਕਾਫ਼ੀ ਹੁੰਦਾ ਹੈ। ਜੋ ਪੜ੍ਹ ਨਹੀਂ ਸਕਦੇ ਉਹ ਟਨਲ ਦੇ ਅੰਦਰਲੀ ਐਪਲੀਕੇਸ਼ਨ ਹੈ, ਅਤੇ ਚਾਬੀਆਂ ਤੋਂ ਬਿਨਾਂ ਕੋਈ ਪੈਕਟ ਕੈਪਚਰ ਇਸਨੂੰ ਨਹੀਂ ਬਦਲਦਾ।

ਲਗਾਤਾਰ ਚੱਲਣ ਵਾਲੀ ਟਨਲ ਆਪਣੇ ਆਪ ਨੁਕਸਾਨਦੇਹ ਨਹੀਂ ਹੁੰਦੀ। ਸਾਈਟ ਤੋਂ ਸਾਈਟ ਲਿੰਕ, ਬੈਕਅੱਪ ਏਜੰਟ ਅਤੇ ਦੂਰਸਥ ਪ੍ਰਬੰਧਨ ਸਾਧਨ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਲਗਾਤਾਰ ਚੱਲਦੇ ਹਨ, ਇਸ ਲਈ ਰਾਤ ਭਰ ਚੱਲਣ ਵਾਲਾ ਪ੍ਰਵਾਹ ਆਪਣੇ ਆਪ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। ਇਸਦੀ ਤੁਲਨਾ ਉਸ ਸੰਪਤੀ ਨੂੰ ਦਿੱਤੀ ਭੂਮਿਕਾ ਅਤੇ ਉਸਦੇ ਸੈਗਮੈਂਟ ਲਈ ਮਨਜ਼ੂਰ ਬੇਸਲਾਈਨ ਨਾਲ ਕਰੋ।

ਬਾਹਰ ਜਾਣ ਵਾਲਾ ਟ੍ਰੈਫਿਕ ਜਾਣਬੁੱਝ ਕੇ ਸੀਮਿਤ ਕਰੋ। ਮੰਜ਼ਿਲ ਪੋਰਟ ਦੀ ਆਗਿਆ ਦੇਣਾ ਉਸ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਮਨਜ਼ੂਰੀ ਦੇਣ ਵਾਂਗ ਨਹੀਂ ਹੈ ਜੋ ਇਸਨੂੰ ਵਰਤਦੀ ਹੈ, ਅਤੇ ਵਰਗੀਕਰਨਕਰਤਾ ਦਾ ਅੰਦਾਜ਼ਾ ਅਧਿਕਾਰ ਦਾ ਫ਼ੈਸਲਾ ਨਹੀਂ। ਜਾਂਚ ਲਈ ਲੋੜੀਂਦਾ ਮੈਟਾਡੇਟਾ ਨਾਮਿਤ ਮਾਲਕ ਅਤੇ ਸੰਭਾਲਣ ਮਿਆਦ ਸਮੇਤ ਇਕੱਠਾ ਕਰੋ, ਹਰ ਵਰਤੋਂਕਾਰ ਦਾ ਸਾਰਾ ਟ੍ਰੈਫਿਕ ਡਿਫ਼ਾਲਟ ਰੂਪ ਵਿੱਚ ਕੈਪਚਰ ਕਰਨ ਦੀ ਥਾਂ।

ਆਪਣੇ ਨਿਯੰਤਰਣ ਵਾਲੀ ਸੀਮਾ ਰਾਹੀਂ ਕਾਬੂ ਕਰੋ

ਕੁਝ ਵੀ ਵੱਖ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਡਿਵਾਈਸ ਕਿਸਦੀ ਹੈ ਅਤੇ ਕਿੱਥੇ ਜੁੜੀ ਹੈ। ਫਿਰ ਘਟਨਾ ਪ੍ਰਕਿਰਿਆ ਵਰਤ ਕੇ ਪੋਰਟ ਸੀਮਿਤ ਕਰੋ ਜਾਂ ਸੈਸ਼ਨ ਰੱਦ ਕਰੋ, ਸਬੂਤ ਤਾਜ਼ਾ ਹੁੰਦਿਆਂ ਹੀ ਸੰਬੰਧਿਤ ਲੌਗ ਸੰਭਾਲੋ। ਸਵਿੱਚ ਪੋਰਟ ਬੰਦ ਕਰਕੇ ਮੁੜ ਚਾਲੂ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ; ਚਾਲੀ ਡੈਸਕਾਂ ਦੀ ਸੇਵਾ ਕਰਨ ਵਾਲਾ ਉਤਪਾਦਨ ਅਪਲਿੰਕ ਇੰਨੀ ਆਸਾਨੀ ਨਾਲ ਵਾਪਸ ਨਹੀਂ ਹੁੰਦਾ।

ਐਂਡਪੁਆਇੰਟ ਉੱਤੇ ਪਲਟਵਾਰ ਨਾ ਕਰੋ ਅਤੇ ਸਿਰਫ਼ ਇਸ ਲਈ ਸਾਂਝੀ ਪੋਰਟ ਬੰਦ ਨਾ ਕਰੋ ਕਿ ਸਕੈਨ ਨੇ VPN ਪ੍ਰੋਟੋਕਾਲ ਦਾ ਸੰਕੇਤ ਦਿੱਤਾ। ਦੋਵੇਂ ਕਾਰਵਾਈਆਂ ਜਾਇਜ਼ ਕੰਮ ਵਿੱਚ ਰੁਕਾਵਟ ਪਾਉਂਦੀਆਂ ਹਨ, ਅਤੇ ਉਸ ਦਾਖਲਾ ਫ਼ੈਸਲੇ ਨੂੰ ਸੁਧਾਰਦੀਆਂ ਨਹੀਂ ਜਿਸਨੇ ਡਿਵਾਈਸ ਨੂੰ ਸ਼ੁਰੂ ਵਿੱਚ ਅੰਦਰ ਆਉਣ ਦਿੱਤਾ।

ਸਵੀਕ੍ਰਿਤੀ ਪਰਖ ਸਪਸ਼ਟ ਹੈ: ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਐਂਡਪੁਆਇੰਟ ਨੂੰ ਉਸਦੀ ਭੂਮਿਕਾ ਲਈ ਲੋੜੀਂਦੀ ਪਹੁੰਚ ਅਜੇ ਵੀ ਮਿਲਦੀ ਹੈ, ਅਤੇ ਗੈਰ-ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਡਿਵਾਈਸ ਬਰਾਬਰ ਰਾਹ ਨਹੀਂ ਲੈ ਸਕਦਾ। ਨਿਗਰਾਨੀ ਉਸ ਸੀਮਾ ਦਾ ਸਮਰਥਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਕਿਸੇ ਦਾ ਇਨਕ੍ਰਿਪਸ਼ਨ ਤੋੜੇ ਬਿਨਾਂ ਵੀ ਇਹ ਮਿਹਨਤ ਦੇ ਯੋਗ ਹੈ।