VPN kirish ogohlantirishlari bosqin ogohlantirishlari emas: seansni kuzating
G'ayrioddiy kirish ko'rib chiqish uchun sabab, hukm emas. Bosqin deb atashdan oldin autentifikatsiya yozuvini seansga, so'ngra seans tegib o'tgan narsaga bog'lang.
Yangi mamlakat uchun ishga tushadigan VPN ogohlantirishi qat'iy ko'rinadi va odatda bunday emas. Autentifikatsiya urinish qabul qilinganini aytadi; seans uni qaysi ulanish olib o'tganini aytadi; resurs yozuvlari o'sha ulanish ichida nima bo'lganini aytadi. Har biri boshqa savolga javob beradi. Uchtasini birlashtirgan qoida dushanba kuni o'ttiz bilet ishlab chiqaradi va juma kuni haqiqiy holatni o'tkazib yuboradi.
Xorijiy manzil — savol, javob emas
Sayohat, boshqa mamlakatda chiqadigan mobil operatorlar, korporativ veb-proksi va qayta taqsimlangan carrier-grade NAT hovuzi — barchasi hujumchini qimirlatmasdan ko'rinadigan manbani qimirlatadi. Kirish yozuvi ulanish tarmoqqa qayerdan kirganini ko'rsatadi, qurilmani kim ushlab turganini emas.
Teskari muvaffaqiyatsizlik yomonroq, chunki u jim. Foydalanuvchining o'z shahridan ishlatilgan o'g'irlangan parol geografiya tekshiruvida avvalgi barcha kirishlarga mos keladigan kirish hosil qiladi.
Geografiyani hukm deb qabul qilishning o'lchanadigan narxi bor. Sayohat qiluvchi noutbuklar barqaror ko'rib chiqish oqimini hosil qiladi, ko'rib chiquvchilar ularni o'qimasdan yopishni o'rganadi va bu odat haqiqiy holat o'sha navbatga tushguncha davom etadi.
Uch turdagi yozuv uch xil savolga javob beradi
Joylashtirilgan mahsulotlar haqiqatda chiqaradigan narsadan boshlang, mahsulot risolasi chiqarishi mumkinligi haqidagi ishoradan emas. Autentifikatsiya qarori da'vo qilingan shaxsni, usulni va natijani nomlaydi. Seansning hayot tsikli ulanish, shlyuz va tayinlangan manzilni boshidan to'xtashgacha nomlaydi.
| Record | Question it answers | What it cannot prove |
|---|---|---|
| Authentication decision | Which identity was accepted or rejected, by which method, at what time | That the person operating the device was the account owner |
| Session lifecycle | Which connection, gateway and assigned address were active, and for how long | What the session did with that access |
| Resource event | Which read, write or denied operation a service observed | Which human behind the session triggered it |
| Policy change | Whether an administrator altered the rule that governs the access | Whether the change was reviewed or intended |
Bo'sh katak yig'ishdagi bo'shliq, oqlanish emas. Agar resurs hodisalari hech qachon kelmasa, shubhali o'qishning yo'qligi quvurning aytadigan hech narsasi yo'qligini bildiradi va jim boshqaruv paneli tarmoqni emas, quvurni tasvirlaydi. Ularga bog'liq qoidani va'da qilishdan oldin joylashtirish haqiqatda qaysi yozuvlarni hosil qilishini yozib qo'ying va har bir yetishmayotgan oqimning egasini nomlang.
Buxgalteriya tafsilotlari seanslar tekshiriladigan joydir. RFC 2866 da tasvirlangan RADIUS hisobi seans identifikatoriga bog'langan boshlanish, to'xtash va oraliq yangilanishlarni olib boradi, shuning uchun boshlanishi bor va to'xtashi yo'q seans sir emas, siz nom berishingiz mumkin bo'lgan bo'shliqdir.
Foydalanuvchi nomiga emas, seansga bog'lang
Bitta hisob qonuniy ravishda bir vaqtning o'zida bir nechta seansni ushlab turadi: noutbuk, telefon, tun bo'yi ulangan holda qoldirilgan laboratoriya mashinasi. O'sha foydalanuvchi nomi uchun har bir hodisani bog'lash uchta qurilmani bitta hikoyaga singdiradi va keyin kombinatsiyani buzilish deb o'qiydi. Tayinlangan manzillar ham qayta ishlanadi, shuning uchun seans tugagandan keyin ham manzilga mos kelaveradigan bog'lanish o'tgan oyning qurilmasini bugungi hodisaga sudrab keladi. Seans kalitini manzil yonida saqlang va moslikni seans haqiqatda qamrab olgan vaqt oynasi bilan cheklang.
Xizmat ko'rishdan oldin tarjima asl manbani olib tashlaydigan joyda, o'sha chegarada qoladigan shaxsdan foydalaning, masalan, o'zaro TLS subyekti yoki yagona kirish da'vosi. Manzil va shaxs o'rtasida bir-birga moslik o'ylab topish qo'shimcha qadamlar bilan bir xil xatodir.
Egasi yo'q ogohlantirish — panel
Har bir qoidaga shart, uni keltirib chiqaradigan zararsiz tushuntirishlar, to'planadigan dalillar va harakat qiluvchi shaxs kerak. Qayta-qayta rad etilgan ma'muriy operatsiya, muvaffaqiyatsiz parollar portlashi va jim yig'uvchi — uch xil soatga ega uch xil hodisa.
Ogohlantirish to'sish emas va tarqatish ro'yxati hech narsani cheklamaydi. Jonli seansni o'zgartirish buni qila oladigan komponentni talab qiladi, xoh ulanishni tashlab yuboradigan shlyuz, xoh seansni bekor qiladigan shaxs provayderi bo'lsin. Eskirgan oqimlar va yetishmayotgan to'xtash yozuvlari ham qoida matniga tegishli, chunki bir kun hech narsa yubormagan yig'uvchi panelda xuddi jim tarmoq kabi ko'rinadi. Farq faqat quvurning o'zida ko'rinadi.
Jim haftaga ishonishdan oldin yig'ish yo'lini tekshiring
Bitta qoidani sozlashdan oldin quvurni boshidan oxirigacha isbotlang. Quyidagi buyruqlar autentifikatsiya va hisob tinglovchilari ishlayotganini, sinov hisob ma'lumotlari to'g'ri sabab bilan rad etilishini va seans hodisalari hali ham kelayotganini tasdiqlaydi:
ss -uanp | grep -E ':(1812|1813)\b' radtest alice 'not-the-password' 127.0.0.1 0 testing123 journalctl -u openvpn-server@server --since '-30 min' | grep -c 'Peer Connection Initiated' timedatectl | grep -E 'System clock|synchronized'
Sinovdan olingan Access-Reject so'rov serverga yetib kelganini va umumiy sir mos kelganini isbotlaydi, odamlar aynan shu qismni o'tkazib yuboradi. Buning o'rniga taym-aut sirga, tinglovchiga yoki uning oldidagi filtrga ishora qiladi va u tuzatilmaguncha quyidagi har bir ogohlantirish tekshirib bo'lmaydi.
Soat holati muhim, chunki korrelyatsiya oynalari kelishuvni taxmin qiladi. Bir necha daqiqa og'gan shlyuz boshqa jihatdan toza seans bog'lanishini imkonsiz ko'rsatadi va ko'rib chiquvchilar oynani kengaytirib qoplaydi, bog'lanish ajratishni to'xtatguncha. Qoidani tahrirlashdan oldin og'ishni tekshiring.
So'ngra bitta qoidani zararsiz sinovdan o'tkazing: kutilmagan manzildan kirish hosil qiling, ogohlantirish ishga tushishini tasdiqlang, javob beruvchi seans va uning resurs hodisalarini olishi mumkinligini tasdiqlang va bilet seans identifikatorini olib yurishini tasdiqlang. Izchil hikoya hosil qiladigan qoida o'tadi. Bir uyum jurnal satrlarini hosil qiladigan qoida hali ham paneldir. Natijani qoida yoniga yozib qo'ying, keyingi ko'rib chiqish taxmindan emas, dalildan boshlansin.