Butun hisobni o'chirmasdan VPN dan bitta qurilmani bloklash

Bitta xodim, ikkita noutbuk va ulardan faqat bittasi kirishni yo'qotishi kerak. Hisobni o'chirish aniq dastak, lekin u noto'g'ri qamrovni jazolaydi, holbuki oxirgi nuqtadagi saqlangan profilni o'chirish nazorat emas, taklif. Qaror uchta shartga keladi: VPN tekshira oladigan qurilma identifikatori bormi, bu aniq ulanish uni haqiqatan baholaydimi va siz odamga emas, qurilmaga nima bo'lishini xohlaysizmi. Ularga shu tartibda javob bering va ijro odatda o'zini tanlaydi.

Birinchi shart: VPN tekshira oladigan qurilma dalillari bormi?

Manba manzili ofis NAT orqasida umumiy va mobil tarmoqlarda o'zgaradi. Xost nomi qurilma da'vo qilgan narsa, MAC manzilni osonlik bilan soxtalashtirish mumkin, registr qiymatini esa mahalliy huquqlarga ega har qanday narsa yozishi mumkin. Bularning hech biri biror narsa tekshirmaguncha identifikator emas. Alohida ro'yxatga olingan qurilma guvohnomasi, masalan o'sha oxirgi nuqtaga berilgan sertifikat, bekor qilishga foydalanuvchi hisobidan torroq nishon beradigan yagona variant.

Guvohnoma faqat ulanish u bilan autentifikatsiya qilsa va har urinishda zanjirni tekshirsa hisobga olinadi. Mashinaning omborida yotgan fayl hech narsani isbotlamaydi.

Ikkinchi shart: bu ulanish uni baholaydimi?

Oxirgi nuqta atributlari universal emas. ASA da Cisco ning ASDM DAP qo'llanmasi foydalanuvchi AAA ma'lumotini oxirgi nuqta baholash atributlaridan ajratadi, qaysi atributlar mavjudligi esa ishlatilayotgan masofaviy kirish protokoli, o'rnatilgan posture vositalari va litsenziyaga bog'liq. Registr tekshiruvi qo'llab-quvvatlanadigan yig'ish yo'lini talab qiladi va shunda ham oxirgi nuqta vositasi ko'rgan narsani xabar qiladi, mashina siz ishonadigan mashina ekanini emas.

Shuning uchun amaliy savol tor: bu tunnelda, bu mijoza va bu posture agenti bilan qaysi atribut to'ldirilgan va ishonchli keladi? Javob hech biri bo'lsa, unga qarshi yozilgan siyosat hech narsaga yoki hamma narsaga mos keladi va ikkala natija ham siz qochgan hisob qulfidan yomonroq.

Uchinchi shart: rad etish, tuzatish yoki torroq kirish?

Uchta natija mavjud va ular bir-birini almashtirmaydi. Sessiyani tugatishingiz mumkin, bu kirishni butunlay olib tashlaydi; qurilmani faqat tuzatish resurslariga yetadigan holatga karantinga qo'yishingiz mumkin; yoki sessiyani qoldirib, uning resurs ACL ini o'sha qurilmaga hali kerak bo'lgan bir necha narsaga qisqartirishingiz mumkin. DAP sessiya amallari va resurs ACL lari turli savollarga javob beradi, shuning uchun tanlov odam qancha yon zarar ko'tarishi haqida.

Yo'qolgan yoki o'g'irlangan noutbuk uchun javob odatda tugatish. Posture tekshiruvidan o'tmagan mashina uchun tuzatish yumshoqroq va xuddi shunday samarali.

Dalillar yo'q bo'lganda nima bo'lishini hal qiling

Standart yo'l yaxshi holat uchun yozilgan qoidadan muhimroq. Agar kutilgan atribut posture agenti buzilgani uchun hech qachon kelmasa, uni talab qiladigan siyosat sessiyani qabul qiladigan standartga tushib qolishi mumkin. Standart natijani o'qing va dalil yo'qligi holatini ataylab sinab ko'ring, chunki agentni olib tashlagan tajovuzkor aynan shu holatni ko'rsatadi.

Mos keladigan bir nechta DAP yozuvlari oddiy birinchi moslik tartibi bilan hal qilinmaydi, agregatsiya qilinadi va ularning ACL ustuvorligi yozuv tanlashdan alohida mexanizm. Qattiqroq yozuv yutadi deb o'ylashdan oldin qo'llanmadagi agregatsiya tavsifini o'qing.

Allaqachon mavjud sessiyalarni ko'rib chiqing, so'ngra ikkala qurilmani sinang

Qabul qilish qoidasini o'zgartirish yoki guvohnomani bekor qilish allaqachon o'rnatilgan va trafik o'tkazayotgan sessiyaga nima bo'lishini tavsiflamaydi. Agar darhol olib tashlash talab bo'lsa, keyingi qayta ulanishni kutmasdan, ijro qo'llab-quvvatlaydigan sessiyani tugatish va qayta baholash tartibiga amal qiling. Bu hodisa paytida eng ko'p o'tkazib yuboriladigan qadam va bu siyosat bilan natija o'rtasidagi farq.

Tasdiqlangan tekshiruv ostida ikkala mashinada ham o'sha ruxsat etilgan foydalanuvchi bilan sinang. Bloklangan qurilma aynan ko'zlangan rad etish yoki tuzatish natijasini olishi kerak, ikkinchisi esa faqat o'zining ruxsat etilgan resurslarini saqlashi kerak. Bu odamning boshqa tasdiqlangan kirishini bekor qilmasdan qurilma chegarasini tekshiradi.

Agar bu ikki natijani har xil qila olmasangiz, muammo siyosatda emas, dalillarda va hech qanday qoida sozlash uni tuzatmaydi.