అనధికార VPN రౌటర్: డీక్రిప్షన్ ముందు ప్రవేశ నియంత్రణ

అంతర్గత స్విచ్ పోర్టులో కనిపించి వెంటనే బయటకు వెళ్లే VPN తెరిచే తెలియని రౌటర్ ఇప్పటికే అత్యంత ముఖ్యమైన నియంత్రణను దాటింది. ప్రవేశం అనేది పరికరం ఉపయోగించదగిన నెట్వర్క్ యాక్సెస్ పొందుతుందో లేదో నిర్ణయిస్తుంది, డీక్రిప్షన్ తర్వాత అది ఏమి చేసిందో మాత్రమే చెబుతుంది. ఈ క్రమాన్ని సరిగ్గా ఉంచడం అసాధ్యమైన పరిశీలన సమస్యను సాధారణ పోర్టు విధాన ప్రశ్నగా మారుస్తుంది. తిరిగి మార్చగల చర్యకు, సేవా అంతరాయానికి మధ్య తేడా కూడా ఇదే.

ప్రవేశం పోర్టులోనే నిర్ణయమవుతుంది

టన్నెల్ ఏమి మోసుకెళ్తుందో అడగకముందు పరికరం ఉపయోగించదగిన కనెక్టివిటీని ఎలా పొందిందో అడగండి. సక్రియ గోడ పోర్టుకు కలిపిన రౌటర్, లేదా తెరిచిన SSIDలో చేరిన వైర్లెస్ క్లయింట్, ఆ పోర్టు లేదా SSID అనువర్తించే విధానంతోనే ప్రవేశం పొందింది. ఆ విధానం "కలిపిన ప్రతిదీ పనిచేసే VLAN పొందుతుంది" అయితే, VPN ఒక లక్షణం, బలహీనత కాదు.

DHCP లీజు అధికార రికార్డు కాదు. చిరునామా రావడం లేదా రాకపోవడం చిరునామా కేటాయింపు సేవను వివరిస్తుంది, పోర్టు స్థితిని కాదు, మరియు అనేక నిర్మాణాలు ధృవీకరించబడని పరికరాన్ని సహాయక సేవను చేరుకోనిస్తూ మిగతావన్నీ తిరస్కరిస్తాయి. లీజు పట్టికను చిరునామా పద్ధతికి సంబంధించిన సాక్ష్యంగా చూడండి, నమ్మకానికి సంబంధించినదిగా కాదు.

ఈ దర్యాప్తుల్లో మూడు రకాల సాక్ష్యాలు కలుస్తాయి: ఆమోదించిన వ్యక్తి, ఆమోదించిన నిర్వహిత పరికరం మరియు ఆస్తి పట్టికలోని ఒక నమోదు. పోర్టు విధానం ఇవి ఏమి అంగీకరిస్తుందో స్పష్టంగా చెప్పాలి, ఎందుకంటే దొంగిలించిన ఆధారాలు మరియు క్లోన్ చేసిన MAC చిరునామా వేరు వేరు షరతులు తీరుస్తాయి.

ధృవీకరించిన పోర్టు వాస్తవంగా ఏమి నిర్ణయిస్తుంది

IEEE 802.1Xలో స్విచ్ లేదా యాక్సెస్ పాయింట్ ధృవీకర్త, అది అభ్యర్థి ఆధారాలను RADIUS క్లయింట్గా కేంద్ర సేవకు పంపుతుంది. RADIUS 802.1X లక్షణాలు ఆ ఫలితానికి పోర్టును అధికారం ఇవ్వడానికి మరియు నిర్మాణం ప్రకారం సెషన్ను నిర్దిష్ట VLAN లేదా నిర్దిష్ట అకౌంటింగ్ సందర్భంలో ఉంచడానికి అనుమతిస్తాయి. స్విచ్ విధాన సర్వర్ తిరిగి ఇచ్చినదాన్ని పోర్టు దానిని అమలు చేయడానికి కాన్ఫిగర్ చేయబడితే మాత్రమే అమలు చేస్తుంది.

ఈ చివరి నిబంధనలోనే అమరికలు నిశ్శబ్దంగా విఫలమవుతాయి. పర్యవేక్షణ లేదా లాగింగ్ మోడ్లో వదిలిన పోర్టు ఉద్దేశించిన నిర్ణయాన్ని నమోదు చేసి ట్రాఫిక్ను పంపుతూనే ఉంటుంది, ఇది ప్రతి నివేదికలో పనిచేస్తున్న అమరికలా కనిపిస్తుంది, ఎవరైనా నిర్వహించని రౌటర్ను కలిపే వరకు.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

అభ్యర్థిని అమలు చేయలేని పరికరాలకు సాధారణ మినహాయింపు కాదు, ప్రత్యేక నిర్ణయం కావాలి. MAC ధృవీకరణను దాటవేయడం, నమోదు పోర్టల్ లేదా ప్రత్యేక పరికర VLAN—అన్నీ చట్టబద్ధమైన సమాధానాలు, కానీ ప్రతిదీ ఉద్దేశపూర్వకంగా ఎంచుకుని డాక్యుమెంట్ చేయాలి. ఏ పరికర తరగతులు ప్రత్యామ్నాయ మార్గాన్ని ఉపయోగించవచ్చు, ఎవరు వాటిని ఆమోదిస్తారో రాయండి. డాక్యుమెంట్ చేయని ప్రత్యామ్నాయ మార్గమే నిర్వహించని రౌటర్ ఎవరి అనుమతి లేకుండా పనిచేసే VLAN పొందే మార్గం.

డీక్రిప్షన్ లేకుండా ఏమి చూడవచ్చు

ఎన్క్రిప్షన్ పేలోడ్లను దాచుతుంది, ప్రవర్తనను కాదు. మూలం మరియు గమ్యస్థాన చిరునామాలు, పోర్టులు, ప్యాకెట్ సమయం, ప్రవాహ పరిమాణం మరియు సెషన్ నిడివి మీరు సేకరించే సరిహద్దులో కనిపిస్తూనే ఉంటాయి, ఆ మెటాడేటా తెలియని పరికరాన్ని పోర్టుతో మరియు బయటకు వెళ్లే గమ్యంతో అనుసంధానించడానికి తరచుగా సరిపోతుంది. మీరు చదవలేనిది టన్నెల్ లోపలి అప్లికేషన్, కీలు లేకుండా ఏ ప్యాకెట్ క్యాప్చర్ దాన్ని మార్చదు.

నిరంతర టన్నెల్ దానంతట అదే హానికరం కాదు. సైట్ల మధ్య లింకులు, బ్యాకప్ ఏజెంట్లు మరియు రిమోట్ నిర్వహణ సాధనాలు నిర్మాణం ప్రకారం నిరంతరం నడుస్తాయి, కాబట్టి రాత్రి మొత్తం కొనసాగే ప్రవాహం దానంతట అదే ఏమీ నిరూపించదు. దాన్ని ఆ ఆస్తికి కేటాయించిన పాత్రతో మరియు దాని విభాగానికి ఆమోదించిన ప్రాథమిక రేఖతో పోల్చండి.

బయటకు వెళ్లే ట్రాఫిక్ను ఉద్దేశపూర్వకంగా పరిమితం చేయండి. గమ్యస్థాన పోర్టును అనుమతించడం దాన్ని ఉపయోగించే అప్లికేషన్ను ఆమోదించడంతో సమానం కాదు, వర్గీకర్త అంచనా అధికార నిర్ణయం కాదు. దర్యాప్తుకు అవసరమైన మెటాడేటాను పేరు పెట్టిన యజమాని మరియు నిల్వ వ్యవధితో సేకరించండి, ప్రతి వినియోగదారు మొత్తం ట్రాఫిక్ను డిఫాల్ట్గా క్యాప్చర్ చేయడం బదులు.

మీరు నియంత్రించే సరిహద్దు ద్వారా అదుపు చేయండి

ఏదైనా వేరుచేయకముందు పరికరం ఎవరిది మరియు ఎక్కడ కలిపారో నిర్ధారించండి. తర్వాత సంఘటన ప్రక్రియను ఉపయోగించి పోర్టును పరిమితం చేయండి లేదా సెషన్ను రద్దు చేయండి, సాక్ష్యాలు ఇంకా తాజాగా ఉన్నప్పుడే సంబంధిత లాగ్లను భద్రపరచండి. స్విచ్ పోర్టును నిష్క్రియం చేసి మళ్లీ సక్రియం చేయవచ్చు; నలభై డెస్కులకు సేవ చేసే ఉత్పత్తి అప్లింక్ను అంత సులభంగా వెనక్కి తీసుకోలేరు.

ఎండ్పాయింట్పై ప్రతిదాడి చేయవద్దు, స్కాన్ VPN ప్రోటోకాల్ను సూచించిందనే కారణంతో పంచుకున్న పోర్టును నిష్క్రియం చేయవద్దు. రెండు చర్యలు చట్టబద్ధమైన పనిని భంగపరుస్తాయి, పరికరాన్ని మొదట్లో లోపలికి అనుమతించిన ప్రవేశ నిర్ణయాన్ని మెరుగుపరకుండా.

ఆమోద పరీక్ష స్పష్టంగా ఉంది: ఆమోదించిన ఎండ్పాయింట్ తన పాత్రకు అవసరమైన యాక్సెస్ను ఇంకా పొందుతుంది, ఆమోదించని పరికరం సమానమైన మార్గాన్ని పొందలేదు. పర్యవేక్షణ ఆ సరిహద్దుకు మద్దతు ఇస్తుంది, ఎవరి ఎన్క్రిప్షన్నూ విచ్ఛిన్నం చేయకుండానే అది శ్రమకు తగినది.