Router VPN i paautorizuar: kontrolli i hyrjes përpara deshifrimit

Një router i panjohur që shfaqet në një portë të brendshme komutatori dhe hap menjëherë një VPN dalëse e ka kaluar tashmë kontrollin që ka më shumë rëndësi. Hyrja vendos nëse pajisja merr fare akses rrjeti të përdorshëm, ndërsa deshifrimi vetëm tregon çfarë bëri më pas. Renditja e saktë e kthen një problem inspektimi të pamundur në një pyetje rutinë për politikën e portave. Është gjithashtu dallimi midis një veprimi të kthyeshëm dhe një ndërprerjeje shërbimi.

Hyrja vendoset në portë

Pyetni si pajisja mori lidhje të përdorshme përpara se të pyesni çfarë transporton tuneli i saj. Një router i lidhur me një portë muri aktive, ose një klient pa tel që u bashkua me një SSID të hapur, u pranua nga politika që zbaton ajo portë ose ai SSID. Nëse kjo politikë thotë «çdo gjë që lidhet merr një VLAN funksionale», VPN-ja është simptom dhe jo dobësia.

Një qira DHCP nuk është regjistër autorizimi. Marrja e një adrese, ose mosmarrja e saj, përshkruan shërbimin e caktimit të adresave, jo gjendjen e portës, dhe shumë projektime lënë një pajisje të paautentikuar të arrijë një shërbim ndihmës duke refuzuar çdo gjë tjetër. Trajtojeni tabelën e qirave si provë për adresimin, jo për besimin.

Në këto hetime ngatërrohen tre lloje provash: një person i miratuar, një pajisje e menaxhuar e miratuar dhe një zë në një fletë inventari. Politika e portës duhet të thotë qartë se cilat prej tyre pranon, sepse kredencialet e vjedhura dhe një adresë MAC e klonuar plotësojnë të ndryshme.

Çfarë vendos në të vërtetë një portë e autentikuar

Me IEEE 802.1X, komutatori ose pika e aksesit është vërtetuesi dhe i përcjell kredencialet e kërkuesit një shërbimi qendror si klient RADIUS. Atributet RADIUS 802.1X lejojnë që ai rezultat të autorizojë portën dhe, në varësi të projektimit, ta vendosë sesionin në një VLAN të caktuar ose në një kontekst të caktuar kontabiliteti. Komutatori zbaton vetëm atë që kthen serveri i politikave nëse porta është konfiguruar ta zbatojë.

Pikërisht në këtë klauzolë të fundit dështojnë në heshtje vendosjet. Një portë e lënë në modalitetin e mbikëqyrjes ose të regjistrimit shënon vendimin e synuar dhe gjithsesi lejon kalimin e trafikut, gjë që në çdo raport duket si një vendosje funksionale derisa dikush të lidhë një router të pamenaxhuar.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Pajisjet që nuk mund të ekzekutojnë një kërkues kanë nevojë për një vendim të veçantë, jo për një përjashtim të përgjithshëm. Anashkalimi i autentikimit MAC, një portal regjistrimi ose një VLAN i dedikuar për pajisjet janë të gjitha përgjigje legjitime, por secila duhet zgjedhur me qëllim dhe dokumentuar. Shkruani cilat klasa pajisjesh mund të përdorin rrugën alternative dhe kush i miraton ato. Një rrugë alternative e padokumentuar është pikërisht mënyra se si një router i pamenaxhuar përfundon me një VLAN funksionale pa miratimin e askujt.

Çfarë mund të shihni pa deshifruar

Kriptimi fsheh ngarkesat, jo sjelljen. Adresat e burimit dhe destinacionit, portat, kohëzgjatja e paketave, vëllimi i rrjedhës dhe kohëzgjatja e sesionit mbeten të dukshme në kufirin ku i mblidhni, dhe këto metadata shpesh mjaftojnë për të lidhur një pajisje të panjohur me një portë dhe me një destinacion dalës. Ajo që nuk mund të lexoni është aplikacioni brenda tunelit, dhe asnjë kapje paketash nuk e ndryshon këtë pa çelësa.

Një tunel i vazhdueshëm nuk është automatikisht keqdashës. Lidhjet midis vendeve, agjentët e kopjeve rezervë dhe mjetet e administrimit në distancë punojnë vazhdimisht sipas projektimit, prandaj një rrjedhë që zgjat gjithë natën nuk provon asgjë vetvetiu. Krahasoni atë me rolin që i është caktuar atij aktivi dhe me vijën bazë të miratuar për segmentin e tij.

Kufizoni daljen me qëllim. Lejimi i një porte destinacioni nuk është një gjë me miratimin e aplikacionit që e përdor, dhe hamendja e një klasifikuesi nuk është vendim autorizimi. Mblidhni metadata që ju nevojiten për hetimin, me një pronar të emërtuar dhe një dritare ruajtjeje, në vend që si parazgjedhje të kapni të gjithë trafikun e çdo përdoruesi.

Përmbajeni përmes kufirit që kontrolloni

Përpara se të izoloni çfarëdo, konfirmoni kujt i përket pajisja dhe ku është lidhur. Më pas përdorni procesin e incidenteve për të kufizuar portën ose për të revokuar sesionin, duke ruajtur regjistrat përkatës ndërkohë që provat janë ende të freskëta. Një portë komutatori mund të çaktivizohet dhe të riaktivizohet; një lidhje lart në prodhim që u shërben dyzet tavolinave nuk kthehet po aq lehtë.

Mos kundërsulmoni pikën fundore dhe mos çaktivizoni një portë të përbashkët vetëm sepse një skanim sugjeroi një protokoll VPN. Të dyja veprimet ndërpresin punë legjitime pa përmirësuar vendimin e hyrjes që e la pajisjen të hynte në radhë të parë.

Testi i pranimit është konkret: një pikë fundore e miratuar merr ende aksesin që kërkon roli i saj, dhe një pajisje e pamura nuk mund të marrë një rrugë ekuivalente. Monitorimi e mbështet atë kufi dhe nuk ka nevojë të thyejë kriptimin e askujt për të vlejtur përpjekjen.