Router VPN não autorizado: controlo de admissão antes da desencriptação

Um router desconhecido que aparece numa porta de switch interna e abre imediatamente uma VPN de saída já passou o controlo que mais importa. A admissão decide se o dispositivo obtém acesso de rede utilizável, enquanto a desencriptação só diz o que ele fez depois. Acertar nesta ordem transforma um problema de inspeção impossível numa questão rotineira de política de portas. É também a diferença entre uma ação reversível e uma falha de serviço.

A admissão decide-se na porta

Pergunte como o dispositivo obteve conectividade utilizável antes de perguntar o que transporta o seu túnel. Um router ligado a uma porta de parede ativa, ou um cliente sem fios que se juntou a um SSID aberto, foi admitido pela política que essa porta ou esse SSID aplica. Se essa política for «tudo o que se liga obtém uma VLAN funcional», a VPN é um sintoma e não a vulnerabilidade.

Um lease DHCP não é um registo de autorização. Receber um endereço, ou não o receber, descreve o serviço de atribuição de endereços, não o estado da porta, e muitos desenhos deixam um dispositivo não autenticado chegar a um serviço auxiliar enquanto negam tudo o resto. Trate a tabela de leases como prova sobre endereçamento, não sobre confiança.

Nestes inquéritos confundem-se três tipos de prova: uma pessoa aprovada, um dispositivo gerido aprovado e uma entrada numa folha de inventário. A política da porta deve ser explícita sobre quais aceita, porque uma credencial roubada e um endereço MAC clonado satisfazem tipos diferentes.

O que uma porta autenticada decide realmente

Com IEEE 802.1X, o switch ou o ponto de acesso é o autenticador, e reencaminha as credenciais do suplicante para um serviço central como cliente RADIUS. Os atributos RADIUS 802.1X permitem que esse resultado autorize a porta e, consoante o desenho, coloque a sessão numa VLAN concreta ou num contexto de contabilidade concreto. O switch aplica o que o servidor de políticas devolve apenas se a porta estiver configurada para o aplicar.

É nesta última cláusula que as implementações falham em silêncio. Uma porta deixada em modo de monitorização ou registo anota a decisão que deveria ter lugar e continua a deixar passar tráfego, o que em todos os relatórios parece uma implementação a funcionar até alguém ligar um router não gerido.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Os dispositivos que não conseguem executar um suplicante precisam de uma decisão separada, não de uma exceção geral. O contorno da autenticação MAC, um portal de registo ou uma VLAN dedicada a dispositivos são todas respostas legítimas, mas cada uma tem de ser escolhida deliberadamente e documentada. Anote que classes de dispositivos podem usar a alternativa e quem as aprova. Uma alternativa não documentada é exatamente como um router não gerido acaba com uma VLAN funcional e sem a aprovação de ninguém.

O que pode ver sem desencriptar

A cifra esconde as cargas úteis, não o comportamento. Os endereços de origem e destino, as portas, a temporização dos pacotes, o volume dos fluxos e a duração das sessões continuam visíveis na fronteira onde os recolhe, e esses metadados bastam muitas vezes para ligar um dispositivo desconhecido a uma porta e a um destino de saída. O que não pode ler é a aplicação dentro do túnel, e nenhuma captura de pacotes muda isso sem chaves.

Um túnel persistente não é automaticamente malicioso. As ligações entre locais, os agentes de cópia de segurança e as ferramentas de administração remota funcionam continuamente por desenho, pelo que um fluxo que dura toda a noite não prova nada por si só. Compare-o com o papel atribuído a esse ativo e com a linha de base aprovada para o seu segmento.

Limite a saída de propósito. Permitir uma porta de destino não é o mesmo que aprovar a aplicação que a usa, e o palpite de um classificador não é uma decisão de autorização. Recolha os metadados de que precisa para o inquérito, com um responsável nomeado e uma janela de retenção, em vez de capturar por omissão todo o tráfego de cada utilizador.

Contenha através da fronteira que controla

Antes de isolar seja o que for, confirme quem é o dono do dispositivo e onde está ligado. Depois use o processo de incidentes para restringir a porta ou revogar a sessão, preservando os registos relevantes enquanto as provas ainda estão frescas. Uma porta de switch pode ser desativada e reativada; uma ligação ascendente de produção que serve quarenta secretárias não se desfaz com a mesma facilidade.

Não contra-ataque o endpoint e não desative uma porta partilhada só porque uma análise sugeriu um protocolo VPN. Ambas as ações interrompem trabalho legítimo sem melhorar a decisão de admissão que deixou entrar o dispositivo.

O teste de aceitação é concreto: um endpoint aprovado continua a obter o acesso que o seu papel exige, e um dispositivo não aprovado não pode obter um caminho equivalente. A monitorização sustenta essa fronteira, e não precisa de quebrar a cifra de ninguém para valer o esforço.