அனுமதிக்கப்படாத VPN ரவூட்டர்: மறைகுறியாக்கத்திற்கு முன் அனுமதிக் கட்டுப்பாடு

உள் சுவிட்ச் துறையில் தோன்றி உடனே வெளியேறும் VPN ஒன்றைத் திறக்கும் அறியப்படாத ரவூட்டர் ஏற்கனவே மிக முக்கியமான கட்டுப்பாட்டைக் கடந்துவிட்டது. அனுமதி என்பது சாதனத்திற்கு பயன்படுத்தக்கூடிய வலைய அணுகல் கிடைக்குமா என்பதைத் தீர்மானிக்கிறது, மறைகுறியாக்கம் என்பது அதன் பின் என்ன செய்தது என்பதை மட்டுமே சொல்கிறது. இந்த வரிசையைச் சரியாக வைத்திருந்தால் சாத்தியமற்ற பரிசோதனைப் பிரச்சினை வழக்கமான துறைக் கொள்கைக் கேள்வியாக மாறுகிறது. திரும்பப்பெறக்கூடிய நடவடிக்கைக்கும் சேவை முடக்கத்திற்கும் இடையிலான வேறுபாடும் இதுவே.

அனுமதி துறையில்தான் தீர்மானிக்கப்படுகிறது

சுரங்கப்பாதை என்ன எடுத்துச் செல்கிறது என்பதைக் கேட்பதற்கு முன் சாதனம் பயன்படுத்தக்கூடிய இணைப்பை எவ்வாறு பெற்றது எனக் கேளுங்கள். செயலில் உள்ள சுவர் துறையில் இணைக்கப்பட்ட ரவூட்டர், அல்லது திறந்த SSID-இல் சேர்ந்த கம்பியில்லா வாடிக்கையாளர், அந்தத் துறை அல்லது SSID பயன்படுத்தும் கொள்கையால் அனுமதிக்கப்பட்டது. அந்தக் கொள்கை "இணைக்கப்படும் எதுவும் இயங்கும் VLAN பெறும்" என்றால், VPN ஒரு அறிகுறி, பலவீனம் அல்ல.

DHCP குத்தகை என்பது அதிகாரப் பதிவு அல்ல. முகவரி பெறுவது அல்லது பெறாதது முகவரி ஒதுக்கீட்டுச் சேவையை விவரிக்கிறது, துறையின் நிலையை அல்ல, மேலும் பல வடிவமைப்புகள் அங்கீகரிக்கப்படாத சாதனம் ஒரு உதவிச் சேவையை அடைய அனுமதித்து மற்ற அனைத்தையும் மறுக்கின்றன. குத்தகை அட்டவணையை முகவரியிடல் பற்றிய சான்றாகக் கருதுங்கள், நம்பிக்கை பற்றியதாக அல்ல.

இந்த விசாரணைகளில் மூன்று வகையான சான்றுகள் கலக்கின்றன: அங்கீகரிக்கப்பட்ட நபர், அங்கீகரிக்கப்பட்ட நிர்வகிக்கப்பட்ட சாதனம், மற்றும் சொத்துப் பட்டியலில் உள்ள ஒரு பதிவு. துறைக் கொள்கை இவற்றில் எதை ஏற்கிறது என்பதைத் தெளிவாகக் கூற வேண்டும், ஏனெனில் திருடப்பட்ட சான்றுகளும் நகலெடுக்கப்பட்ட MAC முகவரியும் வெவ்வேறு நிபந்தனைகளை நிறைவேற்றுகின்றன.

அங்கீகரிக்கப்பட்ட துறை உண்மையில் எதைத் தீர்மானிக்கிறது

IEEE 802.1X-இல் சுவிட்ச் அல்லது அணுகல் புள்ளி அங்கீகரிப்பாளர், அது விண்ணப்பதாரரின் சான்றுகளை RADIUS வாடிக்கையாளராக மையச் சேவைக்கு அனுப்புகிறது. RADIUS 802.1X பண்புக்கூறுகள் அந்த முடிவைத் துறையை அதிகாரப்படுத்த அனுமதிக்கின்றன, வடிவமைப்பைப் பொறுத்து அமர்வை ஒரு குறிப்பிட்ட VLAN அல்லது குறிப்பிட்ட கணக்கியல் சூழலில் வைக்கின்றன. சுவிட்ச் கொள்கை சேவையகம் திருப்பித் தருவதைத் துறை அதைச் செயல்படுத்த அமைக்கப்பட்டிருந்தால் மட்டுமே செயல்படுத்துகிறது.

இந்தக் கடைசி விதியில்தான் பயன்பாடுகள் அமைதியாகத் தோல்வியடைகின்றன. கண்காணிப்பு அல்லது பதிவு முறையில் விடப்பட்ட துறை எதிர்பார்க்கப்பட்ட முடிவைப் பதிவு செய்து போக்குவரத்தை அனுப்பிக்கொண்டே இருக்கிறது, இது ஒவ்வொரு அறிக்கையிலும் இயங்கும் பயன்பாடு போலத் தோன்றும், யாராவது நிர்வகிக்கப்படாத ரவூட்டரை இணைக்கும் வரை.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

விண்ணப்பதாரரை இயக்க முடியாத சாதனங்களுக்கு பொதுவான விதிவிலக்கு அல்ல, தனி முடிவு தேவை. MAC அங்கீகாரத்தைத் தவிர்த்தல், பதிவு நுழைவாயில் அல்லது தனி சாதன VLAN—அனைத்தும் செல்லுபடியாகும் பதில்கள், ஆனால் ஒவ்வொன்றும் வேண்டுமென்றே தேர்ந்தெடுத்து ஆவணப்படுத்தப்பட வேண்டும். எந்தச் சாதன வகைகள் மாற்று வழியைப் பயன்படுத்தலாம், யார் அவற்றை அங்கீகரிக்கிறார்கள் என்பதை எழுதுங்கள். ஆவணப்படுத்தப்படாத மாற்று வழியே நிர்வகிக்கப்படாத ரவூட்டர் யாருடைய அனுமதியும் இல்லாமல் இயங்கும் VLAN பெறும் வழி.

மறைகுறியாக்கம் இல்லாமல் என்ன பார்க்கலாம்

மறையாக்கம் பேலோடுகளை மறைக்கிறது, நடத்தையை அல்ல. மூல மற்றும் இலக்கு முகவரிகள், துறைகள், பாக்கெட் நேரம், ஓட்ட அளவு மற்றும் அமர்வு காலம் ஆகியவை நீங்கள் சேகரிக்கும் எல்லையில் தெரியும், மேலும் அந்த மெட்டாடேட்டா அறியப்படாத சாதனத்தை ஒரு துறையுடனும் வெளியேறும் இலக்குடனும் இணைக்க பெரும்பாலும் போதுமானது. நீங்கள் படிக்க முடியாதது சுரங்கப்பாதைக்குள் உள்ள பயன்பாடு, விசைகள் இல்லாமல் எந்தப் பாக்கெட் பிடிப்பும் அதை மாற்றாது.

நிலையான சுரங்கப்பாதை தானாகவே தீங்கிழைப்பதல்ல. தளங்களுக்கிடையேயான இணைப்புகள், காப்பு முகவர்கள் மற்றும் தொலை நிர்வாகக் கருவிகள் வடிவமைப்பின்படி தொடர்ந்து இயங்குகின்றன, எனவே இரவு முழுவதும் நீடிக்கும் ஓட்டம் தானாக எதையும் நிரூபிக்காது. அதை அந்தச் சொத்துக்கு ஒதுக்கப்பட்ட பங்குடனும் அதன் பிரிவிற்கான அங்கீகரிக்கப்பட்ட அடிப்படைக் கோட்டுடனும் ஒப்பிடுங்கள்.

வெளியேறும் போக்குவரத்தை வேண்டுமென்றே வரம்பிடுங்கள். இலக்குத் துறையை அனுமதிப்பது அதைப் பயன்படுத்தும் பயன்பாட்டை அங்கீகரிப்பதற்குச் சமமானது அல்ல, வகைப்படுத்துபவரின் ஊகம் அதிகார முடிவு அல்ல. விசாரணைக்குத் தேவையான மெட்டாடேட்டாவைப் பெயரிடப்பட்ட உரிமையாளருடனும் தக்கவைப்புக் காலத்துடனும் சேகரியுங்கள், ஒவ்வொரு பயனரின் முழுப் போக்குவரத்தையும் இயல்பாகப் பிடிப்பதற்குப் பதிலாக.

நீங்கள் கட்டுப்படுத்தும் எல்லையின் வழியாக அடக்குங்கள்

எதையும் தனிமைப்படுத்தும் முன் சாதனம் யாருடையது, எங்கே இணைக்கப்பட்டுள்ளது என்பதை உறுதிப்படுத்துங்கள். பின்னர் சம்பவ செயல்முறையைப் பயன்படுத்தித் துறையை வரம்பிடுங்கள் அல்லது அமர்வை ரத்து செய்யுங்கள், சான்றுகள் இன்னும் புதியதாக இருக்கும்போதே தொடர்புடைய பதிவுகளைப் பாதுகாக்கவும். சுவிட்ச் துறையை முடக்கி மீண்டும் இயக்கலாம்; நாற்பது மேசைகளுக்குச் சேவை செய்யும் உற்பத்தி மேல்நோக்கு இணைப்பை அவ்வளவு எளிதாக மீட்க முடியாது.

முனைப்புள்ளி மீது பதிலடித் தாக்குதல் செய்ய வேண்டாம், ஸ்கேன் VPN நெறிமுறையைப் பரிந்துரைத்தது என்பதற்காகப் பகிரப்பட்ட துறையை முடக்க வேண்டாம். இரண்டு நடவடிக்கைகளும் சட்டபூர்வ வேலையை இடையூறு செய்கின்றன, சாதனத்தை முதலில் உள்ளே அனுமதித்த அனுமதி முடிவை மேம்படுத்தாமல்.

ஏற்புப் பரிசோதனை தெளிவானது: அங்கீகரிக்கப்பட்ட முனைப்புள்ளி அதன் பங்கிற்குத் தேவையான அணுகலை இன்னும் பெறுகிறது, அங்கீகரிக்கப்படாத சாதனம் சமமான பாதையைப் பெற முடியாது. கண்காணிப்பு அந்த எல்லையை ஆதரிக்கிறது, யாருடைய மறையாக்கத்தையும் உடைக்காமலே அது முயற்சிக்குத் தகுந்தது.