Ukaguzi wa hali ya kifaa cha VPN hauzuii? Fuatilia ripoti kwanza

Ikiwa kompyuta ya mkononi ambayo saini za antivirus ziliacha kusasishwa wiki kadhaa zilizopita bado inaweza kufungua programu yako ya ndani, hati ya sera mara chache ndiyo kitu ambacho si sahihi. Mifumo mitatu tofauti inapaswa kukubaliana kabla ya ufikiaji kukataliwa: kitu hupima kituo cha mwisho, kitu hubadilisha kipimo hicho kuwa uamuzi wa kuruhusu au kukataa, na kitu huacha trafiki kweli. Kifaa kisichotii kinapoingia hata hivyo, kiungo kimoja kati ya hivyo hakipo au kinaamini ushahidi ambao hakipaswi. Ukaguzi ulio hapa chini unaenda kwa mpangilio huo, na kila mmoja una hatua ya kusimama.

Kizuizi ni hatua ya mwisho, si ya kwanza

Uthibitishaji na hali ya kifaa hujibu maswali tofauti. Kuingia kwa mafanikio huthibitisha kuwa kitambulisho kiliwasilishwa; husema chochote kuhusu programu inayoendesha kwenye mashine iliyokiwasilisha. Pengo hili ndilo linaloruhusu wasifu wa mteja ulionakiliwa kuhamisha kikao kinachoonekana kuwa kizuri hadi kwenye mwenyeji asiye mzuri.

Kazi ya kufuata kanuni za vituo vya mwisho tayari ina msamiati wa mnyororo huu. Mfano wa marejeleo wa NEA katika RFC 5209 hugawanya kazi kuwa mkusanyaji, hatua ya tathmini na hatua ya utekelezaji, na husema wazi kuwa mteja anayedanganya kuhusu hali yake mwenyewe yuko nje ya mfano. Tahadhari hiyo ni muhimu kuliko mchoro: moduli ya jukwaa inayoaminika haifanyi kipimo kilichoripotiwa na kifaa yenyewe kuwa ukweli.

Weka mkusanyaji mwaminifu kuhusu wigo. Anapaswa kuripoti sifa ambazo sera yako inazitaja, kwenye kifaa kinachoomba ufikiaji, na mengi machache zaidi. Wakala wa hesabu anayeorodhesha kila kifurushi kilichosakinishwa ni chombo tofauti na mkusanyaji wa hali, na tofauti ni tatizo la uhifadhi na la usahihi kwa wakati mmoja. Ikiwa ripoti haiwezi kufungwa na utambulisho mmoja wa kifaa, mtathmini anakisia ni mashine gani aliyoiruhusu hivi punde.

Dashibodi inayoonyesha hali nyekundu si udhibiti. Uliza mtumiaji aliyekataliwa bado anaweza kufikia nini: wiki, ushirikiano wa faili, lango la hifadhidata? Marekebisho yanahitaji uso mmoja mwembamba, na kila kitu kingine ni nyuma ya kizuizi.

Soma ripoti kabla ya kusoma kanuni

Anza kwenye chanzo badala ya tiki ya kijani ya mteja. Kwenye Windows kipimo cha ndani kinatoka kwa Defender au kwa bidhaa iliyojisajili na Security Center, na zote mbili zinaweza kusomwa bila konsoli ya msambazaji:

Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productState

Amri ya pili inarudisha nambari kamili inayoitwa productState. Bit zake zimeandikwa kwa ulegevu na wauzaji hupanga bendera za uwezeshaji na usasa kwa namna tofauti, kwa hiyo thibitisha badala ya kuichambua. Vifurushi vya wahusika wengine pia huacha ingizo la Security Center baada ya kuondoa, na hilo huripoti kuhusu programu ambayo haipo tena kwenye diski.

Umri ni sehemu ambayo watu huiruka. Muhuri wa muda wa saini una maana tu ikilinganishwa na saa ya mashine inayofanya tathmini, kwa hiyo ubadilishe kuwa kipindi badala ya kuikadiria kwa jicho:

$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHours

Sasa sera ina nambari moja ya kusoma. Ikiwa kanuni yako inasema saa 72, hiyo ndiyo nambari inayotumia, na kompyuta ya mkononi iliyolala wiki moja inashindwa bila mtu yeyote kufasiri lebo. Andika kizingiti kando ya amri, kwa sababu zote mbili hutengana wakati chombo cha kituo cha mwisho kinapobadilishwa.

Badilisha kila hali ya kifaa kuwa uamuzi ulioandikwa

Migogoro mingi kuhusu hali kwa kweli ni migogoro kuhusu safu isiyojulikana. Amua kabla ya tukio la kwanza, katika jedwali linalotaja ushahidi, uamuzi na mmiliki, ili mtu yeyote asiimprovise kwenye konsoli ya lango.

Safu ya chini ndiyo mahali bidhaa zinatofautiana. Baadhi ya malango hukataa muunganisho na kueleza kwa nini; mengine huruhusu handaki kupanda na kutumia sera iliyozuiliwa; machache hurudi kwenye ripoti nzuri ya mwisho inayojulikana. Mbili za kwanza tu zinaweza kutetea, na inafaa kujaribu lipi lako hufanya.

Weka utambulisho na ruhusa katika njia zao. Kompyuta ya mkononi inayopita kila jaribio la hali bado inahitaji idhini sahihi ya binadamu kwa programu, na cheti cha kifaa huthibitisha umiliki wa ufunguo, si hali ya mfumo wa faili. Kukandamiza zote tatu kwenye boolean moja ndiyo njia ambayo akaunti ya dawati la msaada hupata ufikiaji wa kudumu kwa uzalishaji.

Kagua njia ya utekelezaji kwa ombi, si kwa dashibodi

Utekelezaji ni sifa ya ombi, kwa hiyo pima kwa ombi moja. Weka mashine isiyotii kwenye handaki na fanya mwito ambao mtumiaji halisi angefanya:

curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/health

Jibu 200 kutoka kwa kifaa ambacho kilipaswa kuzuiwa linamaanisha uamuzi haukufika kamwe kwenye njia ya data. Sababu mbili za kawaida: sera imeunganishwa na kundi ambalo akaunti ya jaribio haikujiunga nalo, au programu inafikika kupitia njia ambayo VPN haimiliki.

Kwanza kagua dhana ya uelekezaji. Ikiwa jina la ndani linatatuliwa hadi anwani ambayo mteja tayari anaifikia kupitia LAN ya ndani, handaki haina umuhimu na hakuna sera itakayotumika. Linganisha anwani hiyo na njia ambayo lango linasukuma. Kwenye OpenVPN, sera ya kila mteja huishi katika faili zilizofungwa kwa jina la kawaida, kwa hiyo ni rahisi kuikagua:

ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17

Faili iliyo na disable humkatisha mteja huyo kabisa, wakati mstari wa push "route ..." hupunguza anapoweza kufikia. Zote mbili ni utekelezaji, na zote zinaonekana kwa yeyote anayechunguza ripoti.

Jaribu visa vinne kwenye akaunti moja ya majaribio

Ukaguzi wa mwisho ni matriki ndogo, si njia ya furaha. Pitisha akaunti moja ya jaribio katika hali nne: ya sasa, saini iliyoisha, ulinzi umezimwa, wakala hajasakinishwa. Kwa kila moja, andika uamuzi kwenye kumbukumbu ya tathmini, hali ya HTTP ambayo programu inarudisha, na ikiwa ukurasa wa marekebisho ulipakiwa.

foreach ($case in 'current', 'stale', 'disabled', 'absent') {
  Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
  curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}

Maelezo mawili ni rahisi kukosa. Kwanza uchezaji upya: ripoti iliyonaswa wakati mashine ilikuwa nzuri haipaswi kukubaliwa kwa kikao cha baadaye kwenye kifaa hicho hicho, kwa hiyo tafuta muhuri wa muda uliofungwa na muunganisho wa sasa. Kisha kuondoa: kuondoa wakala kunapaswa kutoa kukataliwa sawa na ripoti iliyopitwa na wakati, si kupita safi, na hii ndiyo kesi ambayo mara nyingi haijajaribiwa kamwe.

Matriki inapolingana na jedwali, kabidhi vitu vitatu kwa atakayeendesha lango baadaye: amri, kizingiti na matokeo manne yanayotarajiwa. Ukabidhi huo ndio matokeo halisi, kwa sababu muundo wa hali unaoishi tu katika hati ya sera huteleza mara ya kwanza chombo cha kituo cha mwisho kinapobadilisha uwanja wake wa kuripoti.