IP-toelaatlys teen goedgekeurde skootrekenaar: twee verskillende kontroles

Versoeke om 'n reël dat slegs die goedgekeurde skootrekenaar mag koppel, eindig dikwels as 'n firewall-inskrywing vir die kantoor se openbare adres. Daardie reël laat nou elke toestel agter die adres in. Die vereiste en die implementering is nie dieselfde ding nie. Skei wat die beleid wil hê van wat die adres kan bewys.

Drie vrae in een beleidsversoek

Verdeel die versoek in drie dele: waar die verbinding vandaan kom, watter diens dit mag bereik, en watter rekenaar die bewys aanbied. 'n Bronadres-reël beantwoord die eerste, en 'n bestemmingsdiens-reël beantwoord die tweede. Nie een identifiseer die fisiese masjien nie, want albei werk op netwerkvelde wat baie toestelle deel. Die derde het 'n bewys nodig wat aan daardie toestel uitgereik is en nie stilweg hergebruik kan word nie.

Skryf die drie antwoorde afsonderlik neer. 'n Enkele firewall-reël kan nie 'n vereiste bevredig wat drie noem nie.

Wat die bronadres jou kan vertel

Adresvertaling is die gewone rede waarom 'n netwerk-oorsprong-reël te veel toelaat. Alles agter een kantoor-uitgang verskyn as dieselfde openbare adres, so die reël verleen aan die hele groep. 'n Vaste adres binne die VPN het dieselfde swakheid op 'n ander plek: dit is 'n toewysing wat aan 'n sessie gekoppel is eerder as 'n eienskap van hardeware. Enige toestel met 'n aanvaarde bewys kan daardie sessie oopmaak. Behandel die adres as 'n netwerkbeperking en beskryf dit so.

Dit is steeds nuttig om blootstelling te beperk, en dit is nie toestel-verifikasie nie.

Bind toegang aan 'n ingeskrewe bewys

As die vereiste toestelbeperking is, gebruik die VPN se ondersteunde per-toestel-inskrywing en gee elke rekenaar 'n afsonderlike identiteit.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Die stoorlys wys die sertifikaat en of 'n private sleutel teenwoordig is, en verifikasie wys of die ketting na die bedoelde anker lei. 'n Sertifikaat bewys besit van die aanvaarde private sleutel onder die gekonfigureerde beleid; dit bewys nie watter fisiese masjien dit gehad het toe daardie sleutel uitgevoer en gekopieer kon word nie. Om die profiel na die skootrekenaar te vernoem, laat die geheim net so oordraagbaar soos voorheen. Waar die platform dit ondersteun, gee hardeware-beskermde sleutels met 'n attestasiebeleid sterker binding, en inskrywing moet steeds besluit wie die bewys mag ontvang.

Toets die grens, beplan dan die verwydering

Evalueer twee gevalle: die goedgekeurde skootrekenaar en gebruiker moet kan koppel, en 'n ander toestel wat net die gebruiker se rekening het, moet nie. As die ontwerp beide 'n gebruiker- en 'n toestel-kontrole vereis, verifieer dat die gekose metode albei in dieselfde sessie afdwing in plaas daarvan om aan te neem twee onafhanklike instellings kombineer.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Herroeping moet die aanvaarde toestel-identiteit verwyder, en hantering van aktiewe sessies verdien sy eie toets. 'n TPM of 'n bestuurde-toestel-vlag is nie 'n skoon gesondheidsertifikaat vir elke proses op die masjien nie.

Teken die netwerkbeperking, die toestelbewys en die inskrywingsbesluit aan as drie kontroles met drie eienaars. Dit maak die grens hersienbaar, en dit is wat 'n adres alleen nooit kan bied nie.