Router ya VPN isiyoidhinishwa: udhibiti wa kiingilio kabla ya usimbuaji

Router isiyojulikana inayotokea kwenye lango la swichi ya ndani na mara moja kufungua VPN inayotoka tayari imepita udhibiti muhimu zaidi. Kiingilio huamua kama kifaa kitapata ufikiaji wa mtandao unaoweza kutumika, wakati usimbuaji unaonyesha tu kilichofanya baadaye. Kupanga mfululizo huo vyema hubadilisha tatizo la ukaguzi lisilowezekana kuwa swali la kawaida la sera ya lango. Pia ni tofauti kati ya hatua inayoweza kurudishwa na kukatika kwa huduma.

Kiingilio huamuliwa kwenye lango

Uliza jinsi kifaa kilipata muunganisho unaoweza kutumika kabla ya kuuliza kile tuneli yake inabeba. Router iliyounganishwa na lango la ukuta linalotumika, au mteja wa bila waya aliyejiunga na SSID iliyo wazi, iliruhusiwa na sera ambayo lango hilo au SSID hiyo inatumia. Ikiwa sera hiyo ni "kila kitu kinachochomekwa kinapata VLAN inayofanya kazi", basi VPN ni dalili na si udhaifu.

Kukodisha DHCP si rekodi ya idhini. Kupokea anwani, au kushindwa kuipokea, kunaelezea huduma ya ugawaji wa anwani, si hali ya lango, na miundo mingi huruhusu kifaa kisichothibitishwa kufikia huduma saidizi huku kikikataa kila kitu kingine. Chukulia jedwali la kukodisha kama ushahidi kuhusu anwani, si kuhusu uaminifu.

Katika uchunguzi huu, aina tatu za ushahidi huchanganyika: mtu aliyedhinishwa, kifaa kinachosimamiwa kilichodhinishwa, na ingizo kwenye karatasi ya hesabu. Sera ya lango inapaswa kuwa wazi kuhusu ipi kati ya hizi inakubali, kwa sababu stakabadhi zilizoibwa na anwani ya MAC iliyonakiliwa hutimiza masharti tofauti.

Lango lililothibitishwa huamua nini kwa kweli

Katika IEEE 802.1X, swichi au sehemu ya ufikiaji ndiyo kithibitishaji, na hupeleka stakabadhi za mwombaji kwa huduma kuu kama mteja wa RADIUS. Sifa za RADIUS 802.1X huruhusu matokeo hayo kuidhinisha lango na, kulingana na muundo, kuweka kikao katika VLAN maalum au muktadha maalum wa uhasibu. Swichi hutekeleza kile seva ya sera inarudisha ikiwa tu lango limeundwa kwa ajili ya kutekeleza hilo.

Ni katika kifungu hiki cha mwisho ambapo uwekaji hutekelezwa kwa utulivu bila mafanikio. Lango lililoachwa katika hali ya ufuatiliaji au uwekaji kumbukumbu hurekodi uamuzi uliokusudiwa na bado hupitisha trafiki, jambo ambalo katika kila ripoti linaonekana kama uwekaji unaofanya kazi hadi mtu atakapochomeka router isiyosimamiwa.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Vifaa visivyoweza kuendesha mwombaji vinahitaji uamuzi tofauti, si msamaha wa jumla. Kupita uthibitishaji wa MAC, lango la usajili au VLAN maalum ya kifaa ni majibu halali yote, lakini kila moja lazima ichaguliwe kwa makusudi na kuandikwa. Andika ni aina gani za vifaa zinazoweza kutumia njia mbadala na nani huziidhinisha. Njia mbadala isiyoandikwa ndiyo hasa jinsi router isiyosimamiwa inapata VLAN inayofanya kazi bila idhini ya mtu yeyote.

Unachoweza kuona bila kusimbua

Usimbaji fiche huficha mizigo, si tabia. Anwani za chanzo na lengwa, milango, muda wa pakiti, kiasi cha mtiririko na muda wa kikao hubaki zinaonekana kwenye mpaka unaokusanya, na metadata hizo mara nyingi zinatosha kuhusisha kifaa kisichojulikana na lango na lengwa linalotoka. Usichoweza kusoma ni programu iliyo ndani ya tuneli, na hakuna ukamataji wa pakiti unaobadilisha hilo bila funguo.

Tuneli endelevu si mbaya kwa kiotomatiki. Viungo kati ya maeneo, mawakala wa chelezo na zana za usimamizi wa mbali hufanya kazi mfululizo kwa muundo, kwa hivyo mtiririko unaodumu usiku kucha hauthibitishi chochote peke yake. Linganisha na jukumu lililopewa rasilimali hiyo na na msingi ulioidhinishwa kwa sehemu yake.

Weka mipaka ya trafiki inayotoka kwa makusudi. Kuruhusu lango la lengwa si sawa na kuidhinisha programu inayolitumia, na kukisia kwa kigawanyaji si uamuzi wa idhini. Kusanya metadata unayohitaji kwa uchunguzi, ukiwa na mmiliki aliyetajwa na kipindi cha uhifadhi, badala ya kunasa trafiki yote ya kila mtumiaji kwa chaguo-msingi.

Zuia kupitia mpaka unaoudhibiti

Kabla ya kutenga chochote, thibitisha kifaa ni cha nani na kiko wapi. Kisha tumia mchakato wa tukio ili kupunguza lango au kubatilisha kikao, ukihifadhi kumbukumbu husika wakati ushahidi bado ni mpya. Lango la swichi linaweza kuzimwa na kuwashwa tena; kiungo cha juu cha uzalishaji kinachohudumia madawati arobaini hakiwezi kutenguliwa kwa urahisi hivyo.

Usishambulie kwa kujibu mwisho wa mwisho na usizime lango la pamoja kwa sababu tu uchunguzi ulidokeza itifaki ya VPN. Hatua zote mbili zinavuruga kazi halali bila kuboresha uamuzi wa kiingilio ulioruhusu kifaa kiingie hapo awali.

Jaribio la kukubalika ni dhahiri: mwisho wa mwisho ulioidhinishwa bado unapata ufikiaji unaohitajika na jukumu lake, na kifaa kisichoidhinishwa hakiwezi kupata njia sawa. Ufuatiliaji unasaidia mpaka huo, na hauhitaji kuvunja usimbaji fiche wa mtu yeyote ili uwe na thamani ya juhudi.