Несанкционированный VPN-маршрутизатор: контроль допуска до расшифровки

Неизвестный маршрутизатор, который появляется на внутреннем порту коммутатора и сразу открывает исходящий VPN, уже прошёл самый важный контроль. Допуск решает, получит ли устройство вообще пригодный сетевой доступ, а расшифровка лишь сообщает, что оно сделало потом. Правильный порядок превращает невозможную задачу инспекции в обычный вопрос политики портов. Это ещё и разница между обратимым действием и простоем.

Допуск решается на порту

Спросите, как устройство получило пригодное подключение, прежде чем спрашивать, что несёт его туннель. Маршрутизатор, подключённый к активному настенному порту, или беспроводной клиент, подключившийся к открытому SSID, был допущен той политикой, которую применяет этот порт или SSID. Если эта политика звучит как «всё, что вставили, получает работающий VLAN», то VPN — симптом, а не уязвимость.

Аренда DHCP не является записью об авторизации. Получение адреса или его отсутствие описывает службу выдачи адресов, а не состояние порта, и многие проекты позволяют неаутентифицированному устройству достичь вспомогательной службы, отказывая во всём остальном. Относитесь к таблице аренды как к доказательству об адресации, а не о доверии.

В таких расследованиях смешиваются три вида доказательств: одобренный человек, одобренное управляемое устройство и запись в инвентарном листе. Политика порта должна прямо указывать, какие из них она принимает, потому что украденные учётные данные и клонированный MAC-адрес удовлетворяют разным.

Что на самом деле решает аутентифицированный порт

В IEEE 802.1X коммутатор или точка доступа является аутентификатором и передаёт учётные данные запрашивающей стороны в центральную службу как клиент RADIUS. Атрибуты RADIUS 802.1X позволяют этому результату авторизовать порт и, в зависимости от проекта, поместить сеанс в определённый VLAN или в определённый контекст учёта. Коммутатор применяет то, что возвращает сервер политики, только если порт настроен это применять.

Именно на этой последней оговорке внедрения тихо дают сбой. Порт, оставленный в режиме наблюдения или журналирования, записывает предполагаемое решение и всё равно пропускает трафик, что в каждом отчёте выглядит как работающее внедрение, пока кто-нибудь не подключит неуправляемый маршрутизатор.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Устройства, которые не могут запустить клиент аутентификации, нуждаются в отдельном решении, а не в общем исключении. Обход аутентификации MAC, портал регистрации или выделенный VLAN для устройств — всё это законные ответы, но каждый нужно выбрать осознанно и задокументировать. Запишите, какие классы устройств могут пользоваться резервным путём и кто их одобряет. Недокументированный резервный путь — это ровно то, как неуправляемый маршрутизатор получает работающий VLAN без чьего-либо одобрения.

Что можно увидеть без расшифровки

Шифрование скрывает полезную нагрузку, а не поведение. Адреса источника и назначения, порты, тайминг пакетов, объём потока и длительность сеанса остаются видимыми на границе, где вы их собираете, и этих метаданных часто достаточно, чтобы связать незнакомое устройство с портом и исходящим назначением. Чего прочитать нельзя — это приложение внутри туннеля, и никакой перехват пакетов не меняет этого без ключей.

Постоянный туннель не обязательно злонамерен. Связи между площадками, агенты резервного копирования и средства удалённого администрирования работают непрерывно по замыслу, поэтому поток, который длится всю ночь, сам по себе ничего не доказывает. Сравните его с ролью, назначенной этому активу, и с одобренной базовой линией для его сегмента.

Ограничивайте исходящий трафик осознанно. Разрешить порт назначения — не то же самое, что одобрить приложение, которое им пользуется, а догадка классификатора не является решением об авторизации. Собирайте метаданные, нужные для расследования, с названным владельцем и сроком хранения, вместо того чтобы по умолчанию записывать весь трафик каждого пользователя.

Сдерживайте через ту границу, которую вы контролируете

Прежде чем что-либо изолировать, подтвердите, кому принадлежит устройство и где оно подключено. Затем по процедуре инцидента ограничьте порт или отзовите сеанс, сохраняя нужные журналы, пока доказательства ещё свежи. Порт коммутатора можно отключить и снова включить; производственный магистральный канал, обслуживающий сорок рабочих мест, так легко не отменить.

Не наносите ответный удар по конечной точке и не отключайте общий порт только потому, что сканирование указало на протокол VPN. Оба действия прерывают законную работу, не улучшая решение о допуске, которое вообще пропустило устройство внутрь.

Критерий приёмки конкретен: одобренная конечная точка по-прежнему получает доступ, требуемый её ролью, а неодобренное устройство не может получить эквивалентный путь. Мониторинг поддерживает эту границу, и ему не нужно взламывать чьё-то шифрование, чтобы оправдать усилия.