Router ng VPN na walang pahintulot: kontrol ng pagpasok bago ang dekripsyon

Ang hindi kilalang router na lumilitaw sa panloob na port ng switch at agad na nagbubukas ng palabas na VPN ay nakalampas na sa kontrol na pinakamahalaga. Ang pagpasok ang nagtatakda kung ang device ay makakakuha ng magagamit na access sa network, samantalang sinasabi lamang ng dekripsyon kung ano ang ginawa nito pagkatapos. Ang tamang pagkakasunod-sunod ay ginagawang ordinaryong tanong sa patakaran ng port ang isang imposibleng problema sa inspeksyon. Ito rin ang pagkakaiba ng naibabalik na aksyon at ng pagkaantala ng serbisyo.

Ang pagpasok ay itinatakda sa port

Itanong kung paano nakakuha ang device ng magagamit na koneksyon bago itanong kung ano ang dinadala ng tunnel nito. Ang router na nakakabit sa aktibong port sa dingding, o ang wireless client na sumali sa bukas na SSID, ay pinapasok ng patakarang inilalapat ng port o SSID na iyon. Kung ang patakaran ay "lahat ng isinasaksak ay nakakakuha ng gumaganang VLAN", sintomas ang VPN at hindi ang kahinaan.

Ang lease ng DHCP ay hindi talaan ng awtorisasyon. Ang pagtanggap ng address, o ang hindi pagtanggap nito, ay naglalarawan sa serbisyo ng pagtatalaga ng address, hindi sa kalagayan ng port, at maraming disenyo ang nagpapahintulot sa device na hindi napatunayan na makarating sa isang pantulong na serbisyo habang tinatanggihan ang lahat ng iba. Ituring ang talahanayan ng lease bilang ebidensya tungkol sa pag-address, hindi tungkol sa tiwala.

Tatlong uri ng ebidensya ang nahahalo sa mga pagsisiyasat na ito: isang taong aprubado, isang aprubadong pinamamahalaang device, at isang entry sa sheet ng imbentaryo. Dapat tukuyin ng patakaran ng port kung alin sa mga ito ang tinatanggap nito, dahil ang nakaw na kredensyal at ang kinlon na MAC address ay tumutugon sa magkaibang kondisyon.

Ano ang talagang itinatakda ng isang na-authenticate na port

Sa IEEE 802.1X, ang switch o access point ang authenticator, at ipinapasa nito ang kredensyal ng nagsusumamo sa sentral na serbisyo bilang kliyente ng RADIUS. Ang mga attribute ng RADIUS 802.1X ang nagpapahintulot sa resultang iyon na awtorisahin ang port at, depende sa disenyo, ilagay ang sesyon sa isang partikular na VLAN o partikular na konteksto ng accounting. Pinapatupad lamang ng switch ang ibinabalik ng server ng patakaran kung ang port ay naka-configure upang ipatupad iyon.

Sa huling sugnay na ito tahimik na nabibigo ang mga deployment. Ang port na iniwan sa mode ng pagmamanman o pag-log ay nagtatala ng inaasahang desisyon at pinapalusot pa rin ang trapiko, na sa bawat ulat ay mukhang gumaganang deployment hanggang may magsaksak ng hindi pinamamahalaang router.

switch# show authentication sessions interface Gi1/0/12
Interface  MAC Address      Method  Status
Gi1/0/12   a4bb.6d12.3f09   dot1x   Authz Success
switch# show dot1x interface Gi1/0/12 details
  Oper control mode: auto
  PAE state: Authenticated

Ang mga device na hindi kayang magpatakbo ng nagsusumamo ay nangangailangan ng hiwalay na desisyon, hindi ng pangkalahatang pagbubukod. Ang paglampas sa authentication ng MAC, portal ng pagpaparehistro, o nakalaang VLAN ng device ay pawang lehitimong sagot, ngunit ang bawat isa ay kailangang piliin nang sadya at idokumento. Isulat kung aling mga klase ng device ang maaaring gumamit ng reserbang landas at sino ang nag-aapruba sa mga ito. Ang hindi naidokumentong reserbang landas ang eksaktong paraan kung paano nakakakuha ng gumaganang VLAN ang isang hindi pinamamahalaang router na walang apruba ng kahit sino.

Ano ang makikita mo nang walang dekripsyon

Itinatago ng encryption ang mga payload, hindi ang pag-uugali. Ang mga address ng pinagmulan at patutunguhan, port, tiyempo ng packet, dami ng daloy at tagal ng sesyon ay nananatiling nakikita sa hangganan kung saan mo sila kinokolekta, at ang metadata na iyon ay madalas sapat upang iugnay ang kakaibang device sa isang port at palabas na patutunguhan. Ang hindi mo mababasa ay ang application sa loob ng tunnel, at walang paghuli ng packet ang magbabago niyon nang walang mga susi.

Ang tuloy-tuloy na tunnel ay hindi awtomatikong mapaminsala. Ang mga link sa pagitan ng mga site, backup agent at tool sa malayong pangangasiwa ay tumatakbo nang tuloy-tuloy ayon sa disenyo, kaya ang daloy na tumatagal buong gabi ay wala mismong pinatutunayan. Ihambing ito sa papel na itinalaga sa asset na iyon at sa aprubadong baseline para sa segment nito.

Limitahan ang palabas nang sadya. Ang pagpayag sa isang patutunguhang port ay hindi katulad ng pag-apruba sa application na gumagamit nito, at ang haka ng isang classifier ay hindi desisyon ng awtorisasyon. Kolektahin ang metadata na kailangan mo para sa pagsisiyasat, na may nakapangalang may-ari at window ng pagpapanatili, sa halip na kunin bilang default ang lahat ng trapiko ng bawat user.

Pigilan sa hangganang kinokontrol mo

Bago ihiwalay ang anuman, kumpirmahin kung kanino ang device at saan ito nakakabit. Pagkatapos gamitin ang proseso ng insidente upang limitahan ang port o bawiin ang sesyon, habang pinapanatili ang mga kaugnay na log habang sariwa pa ang ebidensya. Ang port ng switch ay maaaring patayin at buhayin muli; ang production uplink na naglilingkod sa apatnapung mesa ay hindi maibabalik nang ganoon kadali.

Huwag sumagot ng atake sa endpoint at huwag patayin ang pinagsasaluhang port dahil lamang nagmungkahi ang scan ng protocol ng VPN. Kapwa nakakaabala ang dalawang aksyon sa lehitimong trabaho nang hindi pinapabuti ang desisyon sa pagpasok na nagpahintulot sa device na pumasok noong una.

Ang pagsubok sa pagtanggap ay kongkreto: ang aprubadong endpoint ay nakakakuha pa rin ng access na kailangan ng papel nito, at ang hindi aprubadong device ay hindi makakakuha ng katumbas na landas. Sinusuportahan ng monitoring ang hangganang iyon, at hindi nito kailangang basagin ang encryption ng kahit sino upang maging sulit ang pagsisikap.