只封锁一台设备，而不停用整个账号

一名员工、两台笔记本，只有其中一台必须失去访问权限。停用账号是最顺手的杠杆，却惩罚了错误的范围；而在终端上删掉一个已保存的配置文件只是建议，不是管控。决定归结为三个条件：是否存在 VPN 能够核验的设备身份，这条具体连接是否真的在评估它，以及你希望设备而不是人承担什么结果。按这个顺序回答，执行方式往往自己就选定了。

第一个条件：有没有 VPN 能核验的设备凭据？

源地址在办公室 NAT 之后是共享的，在移动网络上还会变化。主机名只是设备自称，MAC 地址轻易就能伪造，注册表值任何拥有本地权限的东西都能写。在被某个东西核验之前，这些都不是身份。单独登记的设备凭据，例如签发给该终端的证书，是唯一能让吊销瞄准比用户账号更窄目标的选项。

只有当连接用它完成认证、并在每次尝试时校验证书链，这份凭据才算数。躺在机器存储里的文件什么也证明不了。

第二个条件：这条连接真的在评估它吗？

终端属性并非通用。在 ASA 上，Cisco 的 ASDM DAP 指南 把用户 AAA 信息与终端评估属性分开，而哪些属性可用，取决于所用的远程访问协议、部署的 posture 工具以及许可证。注册表检查需要受支持的采集路径，即便可用，它报告的也是终端工具看到的内容，而不是这台机器就是你所信任的那一台。

所以实际问题很窄：在这条隧道上、用这个客户端和这个 posture 代理，哪个属性会带着值、可信地到达？如果答案是没有，针对它写的策略要么匹配不到任何东西，要么匹配一切，两种结果都比你想避开的账号锁定更糟。

第三个条件：拒绝、修复，还是更窄的访问？

有三种结果可用，它们不能互换。你可以终止会话，这会彻底移除访问；你可以把设备隔离到只能访问修复资源的状态；也可以保留会话，把它的资源 ACL 削减到该设备仍然需要的那几样东西。DAP 会话动作和资源 ACL 回答的是不同问题，所以选择的关键是这个人要承受多少附带损害。

笔记本丢失或被盗，答案通常是终止。机器未通过 posture 检查，修复更温和，也同样有效。

决定证据缺失时会发生什么

默认路径比你在正常情形下写的规则更重要。如果 posture 代理坏了、预期属性始终不来，要求该属性的策略可能落到一个放行会话的默认值上。读一读默认结果，并刻意测试证据缺失的情形，因为拆掉代理的攻击者呈现的正是这个状态。

多条匹配的 DAP 记录是聚合的，而不是按简单的首次匹配顺序裁决；它们的 ACL 优先级是与记录选择相互独立的机制。在假定更严格的记录会胜出之前，先读指南里关于聚合的说明。

处理已经存在的会话，然后测试两台设备

更改准入规则或吊销凭据，并没有描述一个已经建立、正在过流量的会话会怎样。如果要求立即移除，就按实现所支持的会话终止与重新评估流程执行，而不是等下一次重连。这是事件中最常被跳过的一步，也是策略与结果之间的差别。

在已批准的检查下，用同一个获准用户在两台机器上测试。被封锁的设备应当收到恰好预期的拒绝或修复结果，另一台只应保留其授权资源。这样既验证了设备边界，又没有吊销此人的其他已批准访问。

如果这两个结果做不出差别，问题在证据，不在策略，再怎么调规则也修不好。