أحداث مصادقة الوصول الآمن لشبكة VPN مع عناوين خادم AAA المحلية من الارتباط

مسألة

عند إختبار وظيفة شبكة VPN للوصول الآمن عن بعد (RA)، يتم تسجيل أحداث المصادقة المفرطة للهويات غير الموجودة في المؤسسة المستأجر. تظهر سجلات المصادقة أكثر من 10000 حدث مصادقة VPN RA في غضون 24 ساعة، تحتوي على أخطاء AAA مثل "AALOG_SERVICE_DOWN" و"AALOG_SERVER_DOWN". تشير رسائل الخطأ هذه إلى عناوين 169.254.x.x المحلية كخادم AAA، والتي لم يتم تكوينها في المستأجر.

وتتضمن أمثلة الخطأ المحددة التي تم ملاحظتها في السجلات ما يلي:

AAALOG_SERVICE_DOWN
AAA authentication server not accessible : server = 169.254.169.79 : user = <user>

AAALOG_SERVER_DOWN
AAA Marking RADIUS server 169.254.169.79 as FAILED

يبدو أن النشاط عبارة عن محاولات مصادقة متكررة قائمة على RADIUS مقابل VPN FQDN للوصول الآمن، مما يؤدي إلى حدوث ضجيج مفرط في السجل وإثارة المخاوف حول المسح الخارجي أو إساءة الاستخدام المحتملة لخدمة VPN.

البيئة

• النظام الأساسي للوصول الآمن من Cisco

• تم تكوين ملف تعريف VPN للوصول عن بعد في البداية دون مصادقة الشهادة

• مصادقة قائمة على RADIUS تم تكوينها لشبكة VPN RA

• تكوين مستأجر VPN عام مع ملفات تعريف VPN قابلة للاكتشاف

قرار

وشمل الحل فهم سلوك تدفق المصادقة وتنفيذ المصادقة المستندة إلى الشهادة كاستراتيجية تخفيف.

الشرح التقني للسلوك الملاحظ

تحدث أحداث المصادقة الزائدة بسبب الأسباب الفنية الموضحة في الأقسام التالية.

تدفق المصادقة دون متطلبات شهادة

عند تعطيل مصادقة الشهادة واستخدام مصادقة RA VPN المستندة إلى RADIUS، يحاول النظام "التفويض الفاشل" لأن النظام يقوم أولا بالتحقق من هوية اسم المستخدم مقابل قاعدة بيانات المستخدمين الذين تمت مزامنتهم في Secure Access، ويسجل حدث "التفويض الفاشل". ومن المتوقع أن تكون هذه الأحداث بمثابة خط دفاع أولي، لكنها يمكن أن تحدث ضوضاء كبيرة في السجل عندما تحاول الجهات الفاعلة الخارجية المصادقة.

إستخدام العنوان المحلي للارتباط

عناوين 169.254.x.x التي تظهر في السجلات هي عناوين إرتباط داخلية/محلية تستخدمها وحدة الاستقبال والبث الخاصة بشبكة VPN الخاصة ب RA لتخويل الجلسات الواردة. تمثل هذه العناوين سلوك النظام الداخلي بدلا من تكوين خوادم AAA بشكل خاطئ في المستأجر.

اكتشاف ملف تعريف VPN

عند تكوين معرف مستأجر VPN عام، يتم سرد ملفات تعريف VPN في القائمة المنسدلة لواجهة المستخدم، والتي يمكن أن تسمح للجهات الفاعلة الخارجية باكتشاف ملفات التعريف العامة بسهولة أكبر واستهدافهم لمحاولات المصادقة.

خطوات التخفيف الفورية

1.- تكوين المصادقة المستندة إلى الشهادة. تعديل توصيف RA VPN لطلب مصادقة مستندة إلى شهادة. عندما تكون مصادقة الشهادة مطلوبة، يقوم Secure Access بإجراء تحقق من الشهادة مسبقا في تدفق المصادقة. إذا كانت الشهادة مفقودة، ينتج عن النظام خطأ قبل تدفق المصادقة القياسي، ولا يتم تسجيل أحداث "التخويل الفاشل" بنفس الطريقة.

2- التحقق من فعالية التخفيف. مراقبة سجلات المصادقة بعد تنفيذ المصادقة المستندة إلى الشهادة لتأكيد تقليل أحداث المصادقة الزائدة. أدى التبديل إلى المصادقة المستندة إلى الشهادة إلى الحد من الهجمات وتقليل تشويش السجل بنجاح.

تحسينات طويلة الأجل

تم إنشاء طلبي ميزة لمعالجة المشاكل الأساسية:

• طلب الميزة 1: قم بإضافة خيار لإخفاء قائمة مجموعة النفق (ملف تعريف VPN) أو إظهارها عند إضافة مستأجر VPN عام، مما يقلل إمكانية اكتشاف ملف التعريف.

• طلب الميزة 2: قم بإضافة خيار تكوين لتمكين أو تعطيل تسجيل محاولات تخويل RA VPN الفاشلة، مما يوفر للمسؤولين التحكم في إسهاب السجل.

وبالإضافة إلى ذلك، يتم إنشاء مستند على واجهة عامة لشرح الأحداث المسجلة وسلوك المصادقة لمساعدة المسؤولين على فهم عمليات النظام العادية.

السبب

السبب الجذري لأحداث المصادقة الزائدة هو مجموعة من ملفات تعريف VPN القابلة للاكتشاف في تكوينات المستأجر العام وسلوك تدفق المصادقة عندما تكون المصادقة المستندة إلى الشهادة غير مطلوبة. عند إستخدام المصادقة المستندة إلى RADIUS دون متطلبات شهادة، يقوم النظام بتسجيل جميع محاولات "التفويض الفاشل" كجزء من وضعية الأمان الخاصة به، بما في ذلك المحاولات من الجهات الفاعلة الخارجية التي تكتشف توصيفات VPN. وتمثل العناوين المحلية للارتباط الموجودة في السجلات سلوك النظام الداخلي العادي لعملية تفويض وحدة الاستقبال والبث الخاصة بشبكة RA VPN، وليست أخطاء تكوين.

المحتوى ذي الصلة

• الدعم الفني والتنزيلات من Cisco

محفوظات المراجعة

المراجعة	تاريخ النشر	التعليقات
1.0	06-Oct-2026	الإصدار الأولي