پورا اکاؤنٹ غیر فعال کیے بغیر VPN سے ایک ڈیوائس بلاک کریں

ایک ملازم، دو لیپ ٹاپ، اور ان میں سے صرف ایک کو رسائی کھونی ہے۔ اکاؤنٹ غیر فعال کرنا واضح لیور ہے مگر یہ غلط دائرے کو سزا دیتا ہے، جبکہ اینڈ پوائنٹ پر محفوظ پروفائل مٹانا کنٹرول نہیں، تجویز ہے۔ فیصلہ تین شرائط پر آتا ہے: کیا VPN کے قابل تصدیق ڈیوائس شناخت موجود ہے، کیا یہ خاص کنکشن واقعی اس کی جانچ کرتا ہے، اور آپ شخص کے بجائے ڈیوائس کے ساتھ کیا ہونا چاہتے ہیں۔ اسی ترتیب میں جواب دیں، اور نفاذ عموماً خود منتخب ہو جاتا ہے۔

پہلی شرط: کیا VPN کے قابل تصدیق ڈیوائس ثبوت موجود ہیں؟

ماخذ پتہ دفتری NAT کے پیچھے مشترک ہوتا ہے اور موبائل نیٹ ورکس پر بدلتا ہے۔ ہوسٹ نام وہی ہے جو ڈیوائس دعوی کرتی ہے، MAC پتہ آسانی سے جعلی بنایا جا سکتا ہے، اور رجسٹری کی قدر کوئی بھی مقامی حقوق رکھنے والا لکھ سکتا ہے۔ ان میں سے کوئی بھی شناخت نہیں جب تک کوئی چیز اس کی تصدیق نہ کرے۔ الگ سے رجسٹر شدہ ڈیوائس اسناد، جیسے اسی اینڈ پوائنٹ کو جاری کردہ سرٹیفکیٹ، واحد آپشن ہے جو منسوخی کو صارف اکاؤنٹ سے زیادہ تنگ ہدف دیتا ہے۔

اسناد تبھی گنی جاتی ہیں جب کنکشن ان سے تصدیق کرے اور ہر کوشش پر زنجیر کی توثیق کرے۔ مشین کے ذخیرے میں پڑی فائل کچھ ثابت نہیں کرتی۔

دوسری شرط: کیا یہ کنکشن اس کی جانچ کرتا ہے؟

اینڈ پوائنٹ کی خصوصیات عالمگیر نہیں ہیں۔ ASA پر Cisco کی ASDM DAP گائیڈ صارف کی AAA معلومات کو اینڈ پوائنٹ جانچ کی خصوصیات سے الگ کرتی ہے، اور کون سی خصوصیات دستیاب ہیں یہ استعمال شدہ ریموٹ ایکسیس پروٹوکول، نصب posture اوزار اور لائسنس پر منحصر ہے۔ رجسٹری جانچ کے لیے معاون جمع کرنے کا راستہ درکار ہے، اور تب بھی یہ بتاتی ہے کہ اینڈ پوائنٹ اوزار نے کیا دیکھا، یہ نہیں کہ مشین وہی ہے جس پر آپ بھروسہ کرتے ہیں۔

لہٰذا عملی سوال تنگ ہے: اس ٹنل پر، اس کلائنٹ اور اس posture ایجنٹ کے ساتھ، کون سی خصوصیت بھری اور قابل بھروسہ آتی ہے؟ اگر جواب کوئی نہیں ہے، تو اس کے خلاف لکھی پالیسی کسی چیز سے نہیں ملے گی یا ہر چیز سے ملے گی، اور دونوں نتائج اس اکاؤنٹ لاک سے بدتر ہیں جس سے آپ بچ رہے تھے۔

تیسری شرط: رد، اصلاح، یا تنگ رسائی؟

تین نتائج دستیاب ہیں اور وہ بدلے نہیں جا سکتے۔ آپ سیشن ختم کر سکتے ہیں، جو رسائی مکمل طور پر ہٹا دیتا ہے؛ ڈیوائس کو قرنطینہ میں ایسی حالت میں رکھ سکتے ہیں جہاں وہ صرف اصلاحی وسائل تک پہنچے؛ یا سیشن جاری رکھ کر اس کا وسائل ACL گھٹا کر ان چند چیزوں تک لا سکتے ہیں جن کی اس ڈیوائس کو ابھی ضرورت ہے۔ DAP سیشن اقدامات اور وسائل ACL مختلف سوالات کے جواب دیتے ہیں، اس لیے انتخاب اس بارے میں ہے کہ شخص کو کتنا ضمنی نقصان سہنا پڑے گا۔

گمشدہ یا چوری شدہ لیپ ٹاپ کے لیے جواب عموماً ختم کرنا ہے۔ posture جانچ میں ناکام مشین کے لیے اصلاح زیادہ نرم اور اتنی ہی مؤثر ہے۔

طے کریں کہ ثبوت نہ ہونے پر کیا ہوتا ہے

اچھے کیس کے لیے لکھے گئے اصول سے زیادہ ڈیفالٹ راستہ اہم ہے۔ اگر متوقع خصوصیت کبھی نہیں آتی کیونکہ posture ایجنٹ خراب ہے، تو اسے لازمی قرار دینے والی پالیسی ایسے ڈیفالٹ پر گر سکتی ہے جو سیشن کو قبول کرتا ہے۔ ڈیفالٹ نتیجہ پڑھیں اور ثبوت کی عدم موجودگی کے کیس کو جان بوجھ کر جانچیں، کیونکہ ایجنٹ ہٹانے والا حملہ آور یہی حالت پیش کرے گا۔

ملنے والے متعدد DAP ریکارڈ سادہ پہلے-میل کی ترتیب سے حل ہونے کے بجائے یکجا کیے جاتے ہیں، اور ان کی ACL ترجیح ریکارڈ کے انتخاب سے الگ طریقہ کار ہے۔ سخت ریکارڈ جیتتا ہے یہ ماننے سے پہلے گائیڈ میں یکجا کرنے کی تفصیل پڑھیں۔

پہلے سے موجود سیشن سنبھالیں، پھر دونوں ڈیوائس جانچیں

داخلہ اصول بدلنا یا اسناد منسوخ کرنا یہ نہیں بتاتا کہ پہلے سے قائم اور ٹریفک گزارنے والے سیشن کے ساتھ کیا ہوتا ہے۔ اگر فوری ہٹانا ضرورت ہے، تو اگلے دوبارہ کنکشن کا انتظار کرنے کے بجائے نفاذ کے معاون سیشن ختم کرنے اور دوبارہ جانچنے کے طریقہ کار پر عمل کریں۔ واقعے کے دوران یہی مرحلہ سب سے زیادہ چھوڑا جاتا ہے، اور یہی پالیسی اور نتیجے کے درمیان فرق ہے۔

منظور شدہ جانچ کے تحت دونوں مشینوں پر اسی اجازت یافتہ صارف کے ساتھ جانچیں۔ بلاک شدہ ڈیوائس کو بالکل مطلوبہ رد یا اصلاح کا نتیجہ ملنا چاہیے، اور دوسری کو صرف اپنے مجاز وسائل رکھنے چاہئیں۔ یہ شخص کی دوسری منظور شدہ رسائی منسوخ کیے بغیر ڈیوائس کی حد کی تصدیق کرتا ہے۔

اگر آپ ان دو نتائج کو مختلف نہیں بنا سکتے، تو مسئلہ پالیسی میں نہیں، ثبوت میں ہے، اور کوئی اصول ترتیب اسے درست نہیں کرے گی۔