Эксплуатация после установки#
Эта страница описывает работу зарегистрированных устройств и сети, которая
ограничивает их доступ. Установка и первоначальная регистрация описаны в
развёртывании. Команды брокера ниже выполняются на брокере,
команды агента — на устройстве. Вместо <device> подставляйте UUID из
device list или вывода status агента.
В Linux и Windows команды чтения защищённого состояния и изменения регистрации
выполняйте с правами администратора. В macOS работайте в сеансе зарегистрированного
пользователя.
Проверить первую рабочую сессию#
На устройстве:
Проверьте UUID, срок действия сертификата, адрес брокера, последнее доказательство
и время следующей попытки. В Linux должна постоянно работать служба
exordos-nac-agent-prove, в Windows — exordos-nac-agent. В macOS LaunchAgent
работает в сеансе пользователя, зарегистрировавшего устройство: запускайте
status от этого пользователя, без sudo.
На брокере:
Проверьте назначенные теги, заявленную и проверенную защиту ключа, исходный адрес, выданные разрешения и последние события. Затем с устройства проверьте обращение к разрешённому и запрещённому ресурсу. Успешное доказательство фиксирует решение брокера; шлюз ещё должен применить его, а трафик — пройти через этот шлюз. Порядок проверки приведён в проверке каждого сегмента.
Что меняется в течение жизни устройства#
device_uuid обозначает регистрацию устройства, а не IP-адрес или сертификат.
При обычном продлении сертификата, смене сети и обновлении агента UUID сохраняется.
В macOS у каждой зарегистрированной учётной записи пользователя своя идентичность.
| Ситуация | Запись на брокере и доступ | Действие оператора |
|---|---|---|
| Зарегистрировано, ещё не доказало сессию | Запись имеет статус ACTIVE; сама регистрация не открывает корпоративные ресурсы. |
Запустить службу агента и проверить первое решение. |
| Работает штатно | Доказательства продлевают сетевую сессию; шлюз устанавливает разрешения с таймерами. | Следить за решениями, продлением сертификата и состоянием шлюза. |
| Отключено от сети или выключено | Запись остаётся ACTIVE; сессии и установленные разрешения истекают. |
Подключить устройство и дать работающему агенту снова доказать сессию. |
| Не выполняет требования политики | Устройство со статусом ACTIVE может получить меньше разрешений или не получить их вовсе. |
Прочитать неуспешные проверки и устранить их причину. |
| Заблокировано | Статус BLOCKED; аутентифицированные операции запрещены, разрешения исчезают из свежего состояния для шлюза. |
Разобраться в причине; разблокировать, когда устройству снова разрешён доступ. |
| Потерян ключ или истёк сертификат | Существующая регистрация не может аутентифицироваться. | Зарегистрировать заново с новым токеном и UUID; отдельно вывести из эксплуатации старую запись. |
| Выведено из эксплуатации | Оператор блокирует или удаляет запись на брокере и удаляет локальные ключи и состояние. | Сохранить аудит на срок, установленный правилами хранения. |
ACTIVE означает, что брокер разрешает этой идентичности аутентифицироваться
с действующим сертификатом.
Этот статус не означает, что устройство подключено, соответствует требованиям
или сейчас имеет сетевой доступ.
Штатная работа и три срока действия#
После регистрации агент должен продолжать работать. prove --loop продлевает
сетевую сессию устройства и обновляет сертификат, когда наступает срок.
Шлюз запускает enforce; этот цикл также продлевает сертификат самого шлюза.
| Механизм | Срок по умолчанию | Как поддерживается |
|---|---|---|
| Сертификат устройства | 60 дней | Продление тем же ключом начинается с renew_after, обычно через 40 дней. |
| Сессия на брокере | 15 минут после последнего решения | Повторные доказательства сессии. |
| Разрешение на шлюзе | 15 минут после последней установки или обновления элемента | Успешное применение состояния шлюзом. |
В штатном режиме устройство доказывает сессию снова примерно через две трети — три четверти срока её действия. Продление сертификата сохраняет возможность пользоваться идентичностью; доказательства сессии поддерживают доступ. Это разные операции.
Для проверки парка устройств:
exordos-nac-broker device list --stale 24
exordos-nac-broker device list --verified software
exordos-nac-broker device versions
exordos-nac-broker release status
Давно не обновлявшиеся записи — повод разобраться, а не автоматически удалить их.
last_seen использует время обновления записи устройства, которое меняется и при
действиях оператора; сопоставляйте его со временем сессий и событий аудита.
Проверенный уровень software сам по себе не означает неисправность: брокер не
может проверить аттестацию Secure Enclave в macOS. Сравнивайте уровни защиты
с требованиями к этому классу устройств.
Смена сети и возвращение после сбоя#
Сессия привязана к исходному адресу, который видит брокер. При смене сети агент проверяет подключение и доказывает сессию снова; успешное доказательство с нового адреса закрывает прежнюю привязку этого устройства. Пока ключ и сертификат работоспособны, повторная регистрация не нужна.
VPN или беспроводное подключение должно установиться независимо от NAC. Затем устройству нужны адрес в обслуживаемом диапазоне и доступный адрес брокера. При восстановлении связи агент распределяет первое доказательство в пределах трёх секунд; задержка вычисляется локально по UUID. Пока сеть или брокер недоступны, агент продолжает попытки.
При недоступности брокера шлюз не устанавливает заново разрешения из кэша. Установленные элементы истекают в пределах срока аренды после последнего успешного обновления на шлюзе, а не обязательно после последнего доказательства устройства. Истечение элемента ограничивает исходящий трафик, но немедленное прекращение всех ответных пакетов уже установленных соединений также зависит от очистки conntrack в цикле применения состояния шлюза. Подробнее — три срока действия.
После восстановления связи работающий агент повторяет попытку с прежней идентичностью. Перед тем как считать длительное отсутствие только сетевой проблемой, проверьте срок действия сертификата.
Изменение доступа и неуспешные проверки состояния#
Политика использует назначенные оператором теги и измеренные устройством сигналы. Владелец сохраняется для учёта; изменение групп пользователя в IAM само по себе не меняет разрешения NAC.
Для обычного устройства можно изменить один тег, не заменяя остальные:
exordos-nac-broker device tag-remove <device> dept:engineering
exordos-nac-broker device tag-add <device> dept:support
Значения должны соответствовать политике вашей установки. device tag заменяет
весь набор тегов. Изменения тегов или состояния устройства учитываются при
следующем решении по сессии; они не пересчитывают немедленно все уже выданные
разрешения. Если на время расследования нужно отозвать доступ, используйте
блокировку.
В выводе status агент показывает неуспешные проверки и текст fix из политики,
если он задан. Изучите решение и события, прежде чем ослаблять политику ради
прохождения проверки.
После штатного обновления прошивки, ядра или Secure Boot может появиться
boot_chain_changed. Убедившись, что изменение ожидаемо и устройство не
скомпрометировано, выполните:
Команда снимает старую привязку цепочки загрузки; следующий проверенный отчёт TPM о состоянии загрузки устанавливает новую. Она не восстанавливает потерянные ключи и не отменяет остальные проверки политики. Команда запрашивает подтверждение и записывает решение оператора в аудит.
Блокировка и возвращение доступа#
При потере устройства, подозрении на компрометацию или временном запрете доступа:
Брокер запрещает дальнейшие аутентифицированные запросы, в том числе продление сертификата и получение предложений обновления. Работающий шлюз удаляет разрешения после получения свежего состояния, обычно на трёхсекундном цикле опроса. Если он не может связаться с брокером, действуют таймеры элементов и описанные выше ограничения. Базовый доступ, предусмотренный политикой, сохраняется; блокировка не отключает VPN или беспроводное подключение.
После устранения причины блокировки:
Запись возвращается в ACTIVE, а для доступа требуется новое успешное
доказательство. UUID и история сохраняются. Разблокировка не исправляет
истёкший сертификат и не возвращает потерянный ключ. Отзыв неиспользованного
токена регистрации запрещает потратить этот токен, но не блокирует уже
зарегистрированное устройство.
Истечение сертификата, потеря ключа и переустановка#
Агент повторяет неудавшееся продление, пока действующий сертификат ещё пригоден. После истечения срока аутентифицировать им запрос продления нельзя. Очистка TPM, потеря локального состояния или доступа к связке ключей пользователя также могут сделать прежнюю идентичность непригодной.
- Запишите старый UUID, проверьте сессии и события аудита.
- Заблокируйте старую запись, если ей больше не следует иметь доступ.
- Исправьте проблему хранилища ключей и получите новый билет регистрации с нужным владельцем и тегами.
- Сбросьте локальную регистрацию и зарегистрируйте устройство заново:
- Проверьте новый UUID, первое доказательство и применение разрешений шлюзом. Старую запись сохраните или удалите согласно правилам расследования и хранения.
reset удаляет локальную регистрацию. Проверьте вывод команды: агент сообщает,
если не смог удалить ключи.
Новое устройство не наследует прежний
UUID, историю сертификатов или закреплённые ключи. Аппаратный отпечаток не
разрешает заменить ключ для прежнего UUID. --require-hardware запрещает
программное хранилище; используйте параметры регистрации, утверждённые для
этого класса устройств.
Обычная замена пакета агента сохраняет идентичность. Переустановка ОС, удаляющая состояние или хранилище ключей, её не сохраняет. Удаление пакета, purge и удаление агента в macOS имеют разные последствия; перед ними сверьтесь с порядком удаления.
Обновление агентов#
Пакеты агента и архивы документации доступны в
публичном каталоге релизов.
В каталоге каждого тега лежат SHA256SUMS и подписанный release.yaml;
latest/VERSION указывает текущий релиз зеркала. Публикация релиза сама по себе
не открывает его развёртывание в вашей установке.
Разместите выбранный релиз на брокере, проверьте его и постепенно расширяйте
долю обновляемых устройств. Следите за release status, device versions
и выводом status на устройстве, в том числе доверием к подписи и ошибками
установки. Для установки предложений устройству нужны включённый apply_updates
и доверенный ключ релизов. Брокер распространяет релизы, но не хранит закрытый
ключ их подписи.
Шлюзы обновляет оператор: они запускают enforce, а не цикл доказательств,
который обрабатывает предложения обновления. После обновления проверьте службу
шлюза и применение правил. Размещение пакетов, приостановка, подписанный откат
и особенности перезапуска описаны в
процедуре обновления.
Разбор проблем с доступом#
Сначала соберите UUID, текущий исходный адрес и примерное время сбоя.
На устройстве запустите status от нужной учётной записи и проверьте журнал
службы. На брокере:
exordos-nac-broker device show <device>
exordos-nac-broker session list --device <device>
exordos-nac-broker audit list --device <device> --since 12h
exordos-nac-broker session who <address>
| Наблюдение | Что проверить дальше |
|---|---|
waiting for network или недоступный брокер |
VPN, маршруты, исходный адрес, обслуживаемый диапазон, адрес брокера и доверие TLS. |
device_blocked |
Причину блокировки и наличие оснований для разблокировки. |
device_unknown |
Не удалена ли запись и не потеряна ли она при восстановлении БД. |
| Истёкший сертификат или неработающий ключ | Ошибки продления и хранилище ключей; при потере идентичности — порядок новой регистрации. |
| Неуспешные проверки или меньше разрешений | Решение политики, измеренные сигналы, назначенные теги и показанную инструкцию исправления. |
| Доказательство успешно, ресурс недоступен | Опрос и службу шлюза, разрешения, nftables, маршруты и конфликты адресов. |
Сохранённый отчёт о последнем доказательстве — снимок, а не подтверждение текущего состояния шлюза. Проверьте его время и срок следующей попытки. Не сбрасывайте работающую идентичность ради диагностики маршрутизации или политики. Коды ответов приведены в протоколе.
Исправить устаревший план сети#
Если адреса брокера или диапазоны шлюза были заданы неверно, сначала исправьте их на брокере. Когда ошибки продолжаются 30 секунд, следующая попытка доказательства использует адрес из локальной конфигурации вместо сохранённого плана сети. Успешное доказательство обновляет план. Чтобы попробовать сразу, на устройстве:
Используйте доступный адрес доверенного брокера. Проверьте device enforces
<gateway> --set <segment> и broker_endpoints, а не сбрасывайте ключ устройства.
Журнал и долговременный аудит#
Брокер пишет строки NAC AUDIT: <event> <ok|failed> device=<uuid> addr=<ip>
reason=<code> ... в stdout/stderr. При запуске через поставляемую службу
читайте их в журнале systemd:
Успешные операции имеют уровень INFO, отказы — WARNING. Отправляйте этот поток
в систему мониторинга установки. Команда audit list читает отдельную историю
в БД для расследования событий устройства. Отказы проверки клиентского
сертификата в nginx не доходят до брокера: проверяйте также журнал ошибок nginx.
Вывод устройства из эксплуатации#
Заблокируйте запись на брокере до очистки или передачи устройства. Остановите агент и сбросьте локальную идентичность от учётной записи, которой она принадлежит. Затем удалите пакет по процедуре для своей платформы. В macOS поставляемый скрипт удаления выполняет сброс и удаляет агент; для других зарегистрированных учётных записей ключи нужно удалить отдельно.
| Платформа | Удаление и идентичность |
|---|---|
| Debian/Ubuntu | dpkg -r exordos-nac-agent сохраняет идентичность; dpkg -P exordos-nac-agent удаляет состояние и конфигурацию. |
| RPM / Arch | rpm -e exordos-nac-agent / pacman -R exordos-nac-agent сохраняют идентичность; при выводе из эксплуатации сначала выполните reset. |
| Windows | msiexec /x <installer.msi> сохраняет состояние в ProgramData; сначала выполните reset. |
| macOS | Запустите sh "/Library/Application Support/exordos_nac/uninstall.sh" от владельца ключа без sudo; скрипт сам запросит права для удаления общих файлов. |
reset очищает локальную идентичность, сохраняя конфигурацию и запись брокера.
На macOS очистите ключи каждой зарегистрированной учётной записи до удаления
приложения: удалить ключ из её связки может только эта учётная запись.
Штатные обновления пакета сохраняют идентичность.
При передаче другому владельцу после удаления прежней идентичности выполните новую регистрацию с билетом, выпущенным для этого владельца.
Сохраняйте заблокированную запись, пока она нужна для расследования. Когда нужно удалить саму запись:
Удаление запрашивает подтверждение и удаляет запись, её сертификаты и сессии.
События аудита сохраняют сведения об устройстве до истечения срока хранения.
Устройство не очищается удалённо: оставшийся сертификат ещё может пройти
проверку TLS в nginx до истечения срока, но брокер откажет с device_unknown.
Обеспечьте восстановление БД, CA устройств и конфигурации установки. После восстановления старой резервной копии повторно примените блокировки и удаления, выполненные после её создания: восстановление может вернуть эти записи. Подробнее — резервное копирование и хранение.