VPN சாதன நிலை சரிபார்ப்பு தடுக்கவில்லையா? முதலில் அறிக்கையைப் பின்தொடரவும்
உங்கள் இறுதிப் புள்ளி முகவர் ஆரோக்கியமான நிலையைத் தெரிவிக்கிறது, ஆனால் உள் பயன்பாடு இன்னும் திறக்கிறது. சேகரிப்பான், தீர்ப்பு மற்றும் தடையைக் கடந்து, பின்னர் ஒரு கோரிக்கையால் மறுப்பை நிரூபிக்கவும்.
வாரங்களுக்கு முன்பு வைரஸ் எதிர்ப்பு கையொப்பங்கள் புதுப்பிப்பதை நிறுத்திய மடிக்கணினி இன்னும் உங்கள் உள் பயன்பாட்டைத் திறக்க முடிந்தால், பொதுவாக தவறானது கொள்கை ஆவணம் அல்ல. அணுகல் மறுக்கப்படுவதற்கு முன் மூன்று தனித்தனி அமைப்புகள் ஒப்புக்கொள்ள வேண்டும்: ஏதோ இறுதிப் புள்ளியை அளக்கிறது, ஏதோ அந்த அளவீட்டை அனுமதி அல்லது மறுப்பு தீர்ப்பாக மாற்றுகிறது, மற்றொன்று போக்குவரத்தை உண்மையில் விட்டுவிடுகிறது. இணங்காத சாதனம் இருந்தபோதிலும் உள்ளே வரும்போது, அந்த இணைப்புகளில் சரியாக ஒன்று இல்லை அல்லது இருக்கக்கூடாத சான்றை நம்புகிறது. கீழேயுள்ள சோதனைகள் அந்த வரிசையில் நடக்கின்றன, ஒவ்வொன்றுக்கும் ஒரு நிறுத்தப் புள்ளி உண்டு.
தடை என்பது கடைசிப் படி, முதல் படி அல்ல
அங்கீகாரமும் சாதன நிலையும் வெவ்வேறு கேள்விகளுக்குப் பதிலளிக்கின்றன. வெற்றிகரமான உள்நுழைவு ஒரு சான்றுக் குறிப்பு சமர்ப்பிக்கப்பட்டதை நிரூபிக்கிறது; அதைச் சமர்ப்பித்த இயந்திரத்தில் எந்த மென்பொருள் இயங்குகிறது என்பதைப் பற்றி எதுவும் கூறவில்லை. இந்த இடைவெளியே நகலெடுக்கப்பட்ட வாடிக்கையாளர் சுயவிவரம் ஆரோக்கியமாகத் தோன்றும் அமர்வை ஆரோக்கியமற்ற புரவலனுக்கு எடுத்துச் செல்ல அனுமதிக்கிறது.
இறுதிப் புள்ளி இணக்கப் பணிக்கு இந்தச் சங்கிலிக்கான சொல்லகராதி ஏற்கனவே உள்ளது. RFC 5209 இல் உள்ள NEA குறிப்பு மாதிரி பணியைச் சேகரிப்பான், மதிப்பீட்டுப் படி மற்றும் செயல்படுத்தும் புள்ளியாகப் பிரிக்கிறது, மேலும் தன் நிலையைப் பற்றிப் பொய் சொல்லும் வாடிக்கையாளர் மாதிரிக்கு வெளியே நிற்கிறது என்று தெளிவாகக் கூறுகிறது. இந்தக் குறிப்பு வரைபடத்தை விட முக்கியமானது: நம்பகமான தளக் கூறு தானே தெரிவித்த அளவீட்டை உண்மையாக மாற்றாது.
சேகரிப்பானை எல்லை விஷயத்தில் நேர்மையாக வைத்திருங்கள். உங்கள் கொள்கை பெயரிடும் பண்புகளை, அணுகலைக் கோரும் சாதனத்தில் தெரிவிக்க வேண்டும், மற்றவை மிகக் குறைவு. நிறுவப்பட்ட ஒவ்வொரு தொகுப்பையும் பட்டியலிடும் சரக்கு முகவர் நிலைச் சேகரிப்பானிலிருந்து வேறுபட்ட கருவி, இந்த வேறுபாடு ஒரே நேரத்தில் சேமிப்பு மற்றும் துல்லியப் பிரச்சினை. அறிக்கையை ஒரு சாதன அடையாளத்துடன் இணைக்க முடியாவிட்டால், மதிப்பீட்டாளர் இப்போது எந்த இயந்திரத்தை அனுமதித்தார் என்று ஊகிக்கிறார்.
சிவப்பு நிலையைக் காட்டும் டாஷ்போர்டு ஒரு கட்டுப்பாடு அல்ல. மறுக்கப்பட்ட பயனர் இன்னும் எங்கே செல்ல முடியும் என்று கேளுங்கள்: விக்கி, கோப்புப் பங்கீடு, தரவுத்தளத் துறைமுகம்? சரிசெய்தலுக்கு ஒரே குறுகிய மேற்பரப்பு தேவை, மற்ற எல்லாம் தடைக்குப் பின்னால் உள்ளது.
விதியைப் படிப்பதற்கு முன் அறிக்கையைப் படியுங்கள்
வாடிக்கையாளரின் பச்சைக் குறியிலிருந்து அல்ல, மூலத்திலிருந்து தொடங்குங்கள். Windows இல் உள்ளூர் அளவீடு Defender இலிருந்து அல்லது தன்னை Security Center இல் பதிவு செய்த தயாரிப்பிலிருந்து வருகிறது, இரண்டையும் விற்பனையாளர் பணியகம் இல்லாமல் படிக்கலாம்:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateஇரண்டாவது கட்டளை productState எனப்படும் முழு எண்ணைத் திருப்பித் தருகிறது. அதன் பிட்கள் தளர்வாக ஆவணப்படுத்தப்பட்டுள்ளன, விற்பனையாளர்கள் செயல்படுத்தல் மற்றும் புதுப்பித்தல் கொடிகளை வெவ்வேறு வழிகளில் பொதிக்கின்றனர், எனவே பகுப்பாய்வு செய்வதற்குப் பதிலாக உறுதிப்படுத்துங்கள். மூன்றாம் தரப்புத் தொகுப்புகள் நிறுவல் நீக்கிய பின்னும் Security Center பதிவை விட்டுச் செல்கின்றன, அது இப்போது வட்டில் இல்லாத மென்பொருளைப் பற்றித் தெரிவிக்கிறது.
மக்கள் தவிர்க்கும் புலம் வயது. கையொப்பத்தின் நேர முத்திரை மதிப்பீடு செய்யும் இயந்திரத்தின் கடிகாரத்துடன் ஒப்பிடும்போது மட்டுமே பொருள் கொள்ளும், எனவே கண்ணால் மதிப்பிடுவதற்குப் பதிலாக அதை இடைவெளியாக மாற்றுங்கள்:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursஇப்போது கொள்கைக்குப் படிக்க ஒரு எண் உள்ளது. உங்கள் விதி 72 மணி நேரம் என்று சொன்னால், அதுவே அது பயன்படுத்தும் எண், ஒரு வாரம் தூங்கிய மடிக்கணினி யாரும் லேபிளை விளக்காமலேயே தோல்வியடைகிறது. கட்டளைக்கு அருகில் வரம்பைப் பதிவு செய்யுங்கள், ஏனென்றால் இறுதிப் புள்ளிக் கருவி மாற்றப்படும்போது இரண்டும் விலகுகின்றன.
ஒவ்வொரு சாதன நிலையையும் எழுதப்பட்ட தீர்ப்பாக மாற்றுங்கள்
நிலை பற்றிய பெரும்பாலான தகராறுகள் உண்மையில் அறியப்படாத வரியைப் பற்றியவை. முதல் சம்பவத்திற்கு முன்பே அதைத் தீர்மானியுங்கள், சான்று, தீர்ப்பு மற்றும் உரிமையாளரைப் பெயரிடும் அட்டவணையில், யாரும் நுழைவாயில் பணியகத்தில் திடீரென முடிவெடுக்காதபடி.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
தயாரிப்புகள் வேறுபடுவது கீழ் வரியில்தான். சில நுழைவாயில்கள் இணைப்பை மறுத்து காரணம் கூறுகின்றன; மற்றவை சுரங்கப்பாதை ஏற அனுமதித்து வரம்புக்குட்பட்ட கொள்கையைப் பயன்படுத்துகின்றன; சில கடைசியாக அறியப்பட்ட நல்ல அறிக்கைக்குத் திரும்புகின்றன. முதல் இரண்டு மட்டுமே பாதுகாக்கக்கூடியவை, உங்களுடையது எதைச் செய்கிறது என்று சோதிப்பது மதிப்புள்ளது.
அடையாளத்தையும் அனுமதியையும் அவற்றின் பாதைகளில் வைத்திருங்கள். ஒவ்வொரு நிலைச் சோதனையையும் கடக்கும் மடிக்கணினிக்கு பயன்பாட்டிற்கான சரியான மனித அங்கீகாரம் இன்னும் தேவை, சாதனச் சான்றிதழ் ஒரு திறவுகோலின் வைத்திருத்தலை நிரூபிக்கிறது, கோப்பு முறைமையின் நிலையை அல்ல. மூன்றையும் ஒரு பூலியனாக நசுக்குவதுதான் உதவி மேசைக் கணக்கு உற்பத்தியில் நிரந்தர அணுகலைப் பெறும் வழி.
செயல்படுத்தும் பாதையை டாஷ்போர்டால் அல்ல, கோரிக்கையால் சோதியுங்கள்
செயல்படுத்தல் என்பது ஒரு கோரிக்கையின் பண்பு, எனவே ஒரு கோரிக்கையால் அதை அளவிடுங்கள். இணங்காத இயந்திரத்தைச் சுரங்கப்பாதையில் வைத்து உண்மையான பயனர் செய்யும் அழைப்பைச் செய்யுங்கள்:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthதடுக்கப்பட வேண்டிய சாதனத்திலிருந்து 200 வந்தால் முடிவு ஒருபோதும் தரவுப் பாதையை எட்டவில்லை என்று பொருள். இரண்டு பொதுவான காரணங்கள்: சோதனைக் கணக்கு சேராத குழுவுடன் கொள்கை இணைக்கப்பட்டுள்ளது, அல்லது VPN உரிமை கொள்ளாத வழியில் பயன்பாட்டை அடையலாம்.
முதலில் வழிமாற்றல் அனுமானத்தைச் சோதியுங்கள். உள் பெயர், வாடிக்கையாளர் ஏற்கனவே உள்ளூர் LAN வழியாக அடையும் முகவரியாகத் தீர்கிறது என்றால், சுரங்கப்பாதை பொருத்தமற்றது, எந்தக் கொள்கையும் பயன்படுத்தப்படாது. அந்த முகவரியை நுழைவாயில் தள்ளும் வழியுடன் ஒப்பிடுங்கள். OpenVPN இல் ஒவ்வொரு வாடிக்கையாளரின் கொள்கையும் பொது பெயரால் திறவுகோலிடப்பட்ட கோப்புகளில் வாழ்கிறது, எனவே சோதிப்பது எளிது:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17disable உள்ள கோப்பு அந்த வாடிக்கையாளரை முற்றிலும் துண்டிக்கிறது, push "route ..." வரி எங்கே செல்லலாம் என்பதைக் குறுக்குகிறது. இரண்டும் செயல்படுத்தல், இரண்டும் அறிக்கையைப் பிழைதிருத்துபவருக்குத் தெரியும்.
நான்கு நிகழ்வுகளையும் ஒரே சோதனைக் கணக்கில் சோதியுங்கள்
இறுதிச் சோதனை ஒரு சிறிய அணி, இனிய பாதை அல்ல. ஒரு சோதனைக் கணக்கை நான்கு நிலைகளில் கடத்துங்கள்: தற்போதைய, காலாவதியான கையொப்பம், பாதுகாப்பு முடக்கப்பட்டது, முகவர் நிறுவப்படவில்லை. ஒவ்வொன்றுக்கும் மதிப்பீட்டுப் பதிவில் தீர்ப்பை, பயன்பாடு திருப்பித் தரும் HTTP நிலையை, சரிசெய்தல் பக்கம் ஏற்றப்பட்டதா என்பதைப் பதிவு செய்யுங்கள்.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}இரண்டு விவரங்கள் தவறவிட எளிது. முதலில் மறுஇயக்கம்: இயந்திரம் ஆரோக்கியமாக இருந்தபோது எடுக்கப்பட்ட அறிக்கை அதே சாதனத்தின் பிந்தைய அமர்வுக்கு ஏற்கப்படக்கூடாது, எனவே தற்போதைய இணைப்புடன் பிணைக்கப்பட்ட நேர முத்திரையைத் தேடுங்கள். பின்னர் அகற்றல்: முகவரை நிறுவல் நீக்கினால் பழைய அறிக்கையைப் போலவே மறுப்பு வர வேண்டும், தூய்மையான கடப்பு அல்ல, இந்த நிகழ்வுதான் அதிகம் ஒருபோதும் சோதிக்கப்படுவதில்லை.
அணி அட்டவணையுடன் பொருந்தினால், அடுத்து நுழைவாயிலை இயக்குபவருக்கு மூன்று விஷயங்களை ஒப்படையுங்கள்: கட்டளைகள், வரம்பு மற்றும் எதிர்பார்க்கப்படும் நான்கு முடிவுகள். இந்த ஒப்படைப்பே உண்மையான வெளியீடு, ஏனென்றால் கொள்கை ஆவணத்தில் மட்டும் வாழும் நிலை வடிவமைப்பு இறுதிப் புள்ளிக் கருவி அதன் அறிக்கைப் புலத்தை மாற்றும் முதல் தருணத்தில் விலகுகிறது.