VPN qurilma holati tekshiruvi bloklamayaptimi? Avval hisobotni kuzatib chiqing
Yakuniy nuqta agenti sog'lom holat haqida xabar beradi, ammo ichki ilova baribir ochiladi. To'plovchi, hukm va bloklashni ko'rib chiqing, so'ng rad etishni bitta so'rov bilan isbotlang.
Agar antivirus imzolari haftalar oldin yangilanishdan to'xtagan noutbuk hali ham ichki ilovangizni ocha olsa, siyosat hujjati xato bo'lgan narsa bo'lishi kam uchraydi. Ruxsat rad etilishidan oldin uchta alohida tizim kelishishi kerak: nimadir yakuniy nuqtani o'lchaydi, nimadir bu o'lchovni ruxsat yoki rad hukmiga aylantiradi, yana nimadir trafikni haqiqatan tashlab yuboradi. Mos kelmaydigan qurilma baribir kirsa, aynan o'sha bo'g'inlardan biri yo'q yoki bo'lmasligi kerak dalilga ishonadi. Quyidagi tekshiruvlar shu tartibda boradi va har birining to'xtash nuqtasi bor.
Bloklash oxirgi qadam, birinchisi emas
Autentifikatsiya va qurilma holati turli savollarga javob beradi. Muvaffaqiyatli kirish hisob ma'lumotlari taqdim etilganini isbotlaydi; u ularni taqdim etgan mashinada qanday dasturiy ta'minot ishlayotgani haqida hech narsa demaydi. Aynan shu bo'shliq tufayli nusxalangan mijoz profili sog'lom ko'rinadigan sessiyani sog'lom bo'lmagan xostga olib o'tishi mumkin.
Yakuniy nuqtalar muvofiqligi ishida bu zanjir uchun lug'at allaqachon bor. RFC 5209 dagi NEA ma'lumotnoma modeli vazifani to'plovchi, baholash bosqichi va tatbiq nuqtasiga ajratadi hamda o'z holati haqida yolg'on gapiradigan mijoz modeldan tashqarida qolishini ochiq aytadi. Bu eslatma chizmadan muhimroq: ishonchli platforma moduli o'zi bildirgan o'lchovni faktga aylantirmaydi.
To'plovchini qamrov masalasida halol tuting. U siyosatingiz nomlagan atributlarni ruxsat so'rayotgan qurilmada xabar qilishi kerak, boshqasi kam. Har bir o'rnatilgan paketni sanab chiqadigan inventar agenti holat to'plovchisidan boshqa asbob, farq esa bir vaqtning o'zida saqlash va aniqlik muammosidir. Agar hisobotni bitta qurilma identifikatoriga bog'lab bo'lmasa, baholovchi qaysi mashinaga hozir ruxsat berganini taxmin qilmoqda.
Qizil holatni ko'rsatadigan panel nazorat emas. Rad etilgan foydalanuvchi hali qayerga yeta olishini so'rang: vikiga, fayl almashinuviga, ma'lumotlar bazasi portiga? Tuzatish uchun bitta tor yuza kerak, qolgani blok orqasida.
Qoidani o'qishdan oldin hisobotni o'qing
Mijozning yashil belgisidan emas, manbadan boshlang. Windowsda mahalliy o'lchov Defenderdan yoki o'zini Security Center ga ro'yxatdan o'tkazgan mahsulotdan keladi va ikkalasini ham sotuvchi konsolisiz o'qish mumkin:
Get-MpComputerStatus | Select-Object AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-CimInstance -Namespace root/SecurityCenter2 -ClassName AntiVirusProduct | Select-Object displayName, productStateIkkinchi buyruq productState nomli butun sonni qaytaradi. Uning bitlari yengil hujjatlashtirilgan va sotuvchilar yoqish hamda dolzarblik bayroqlarini turlicha joylashtiradi, shuning uchun tahlil qilishdan ko'ra tasdiqlang. Uchinchi tomon paketlari o'chirilgandan keyin ham Security Center yozuvini qoldiradi va u diskda qolmagan dasturiy ta'minot haqida xabar beradi.
Odamlar tashlab ketadigan maydon — yosh. Imzo vaqt belgisi faqat baholashni amalga oshiruvchi mashina soatiga nisbatan ma'noga ega, shuning uchun uni ko'z bilan chamalash o'rniga intervalga aylantiring:
$sig = (Get-MpComputerStatus).AntivirusSignatureLastUpdated
[int](New-TimeSpan -Start $sig -End (Get-Date)).TotalHoursEndi siyosatda o'qish uchun bitta raqam bor. Qoidangiz 72 soat desa, u ishlatadigan raqam shu, va bir hafta uxlagan noutbuk hech kim yorliqni izohlamasdan muvaffaqiyatsizlikka uchraydi. Chegarani buyruq yoniga yozib qo'ying, chunki yakuniy nuqta asbobi almashtirilganda ikkisi uzoqlashadi.
Har bir qurilma holatini yozma hukmga aylantiring
Holat haqidagi bahslarning aksariyati aslida noma'lum qator haqidagi bahs. Birinchi hodisadan oldin uni hal qiling, dalil, hukm va egasini nomlaydigan jadvalda, hech kim darvoza konsolida o'zicha qaror qabul qilmasin.
| Evidence the assessor has | Verdict | What it protects against |
|---|---|---|
| Timestamp inside the policy window, protective service running | Admit to normal applications | Nothing yet; the other checks still apply |
| Timestamp older than the window | Deny, admit remediation page only | Signature rollback and dormant laptops |
| Service disabled or reporting off | Deny, escalate to the endpoint owner | An agent reporting stale success |
| No report at all for this session | Treat as deny, never as healthy | Agents that fail open under load |
Mahsulotlar aynan pastki qatorda farqlanadi. Ba'zi darvozalar ulanishni rad etib, sababini tushuntiradi; boshqalari tunnel ko'tarilishiga yo'l qo'yib, cheklangan siyosat qo'llaydi; bir nechtasi oxirgi ma'lum yaxshi hisobotga qaytadi. Faqat birinchi ikkitasini himoya qilish mumkin, va siznikisi qaysinisini qilishini sinab ko'rishga arziydi.
Identifikatsiya va ruxsatni ham o'z yo'llarida saqlang. Har bir holat sinovidan o'tgan noutbuk ilova uchun hali ham to'g'ri insoniy avtorizatsiyaga muhtoj, qurilma sertifikati esa kalitga egalikni isbotlaydi, fayl tizimi holatini emas. Uchtasini bitta mantiqiy qiymatga siqish — yordam stoli hisobi ishlab chiqarishga doimiy kirish huquqini oladigan yo'l.
Tatbiq yo'lini panel bilan emas, so'rov bilan tekshiring
Tatbiq — so'rovning xususiyati, shuning uchun uni bitta so'rov bilan o'lchang. Mos kelmaydigan mashinani tunnelga qo'ying va haqiqiy foydalanuvchi qiladigan chaqiruvni qiling:
curl -sS -o /dev/null -w '%{http_code}
' --max-time 5 https://app.internal.example/healthBloklanishi kerak bo'lgan qurilmadan 200 kelsa, hukm ma'lumot yo'liga hech qachon yetib bormagan. Ikki odatiy sabab: siyosat sinov hisobi hech qachon qo'shilmagan guruhga bog'langan, yoki ilovaga VPN egalik qilmaydigan marshrut orqali kirish mumkin.
Avval marshrutlash taxminini tekshiring. Agar ichki nom mijoz allaqachon mahalliy LAN orqali yetib boradigan manzilga hal qilinsa, tunnel ahamiyatsiz va hech qanday siyosat qo'llanmaydi. O'sha manzilni darvoza itarib yuboradigan marshrut bilan solishtiring. OpenVPN da har bir mijoz siyosati umumiy nom bilan kalitlangan fayllarda yashaydi, shuning uchun uni tekshirish oson:
ls /etc/openvpn/ccd/
cat /etc/openvpn/ccd/laptop-17disable bor fayl o'sha mijozni butunlay uzadi, push "route ..." satri esa uning qayerga yeta olishini toraytiradi. Ikkisi ham tatbiq, va ikkisi ham hisobotni tuzatayotgan har kimga ko'rinadi.
To'rt holatni bitta sinov hisobida sinab ko'ring
Yakuniy tekshiruv — kichik matritsa, baxtli yo'l emas. Bitta sinov hisobini to'rt holatdan o'tkazing: joriy, muddati o'tgan imzo, himoya o'chirilgan, agent o'rnatilmagan. Har biri uchun hukmni baholash jurnaliga, ilova qaytaradigan HTTP holatini va tuzatish sahifasi yuklangan-yuklanmaganini yozing.
foreach ($case in 'current', 'stale', 'disabled', 'absent') {
Get-MpComputerStatus | Select-Object AMServiceEnabled, AntivirusSignatureLastUpdated
curl.exe -sS -o NUL -w "%{http_code}
" --max-time 5 https://app.internal.example/health
}Ikki tafsilotni o'tkazib yuborish oson. Avval qayta ijro: mashina sog'lom bo'lgan paytda olingan hisobot o'sha qurilmadagi keyingi sessiya uchun qabul qilinmasligi kerak, shuning uchun joriy ulanishga bog'langan vaqt belgisini qidiring. So'ng olib tashlash: agentni o'chirish eskirgan hisobot kabi rad etishga olib kelishi kerak, toza o'tishga emas, va aynan shu holat ko'pincha hech qachon tekshirilmaydi.
Matritsa jadvalga mos kelsa, darvozani keyingi boshqaradigan odamga uchta narsani topshiring: buyruqlar, chegara va kutilgan to'rt natija. Aynan shu topshirish haqiqiy natija, chunki faqat siyosat hujjatida yashaydigan holat dizayni yakuniy nuqta asbobi o'z hisobot maydonini o'zgartirganda birinchi marta siljib ketadi.