قائمة عناوين IP المسموح بها مقابل الحاسوب المحمول المعتمد: ضابطتان مختلفتان

غالبًا ما تنتهي الطلبات الخاصة بقاعدة تسمح باتصال الحاسوب المحمول المعتمد فقط بمدخل في جدار الحماية لعنوان المكتب العام. تلك القاعدة باتت تسمح بكل جهاز خلف العنوان. المتطلب والتنفيذ ليسا الشيء نفسه. افصل ما تريده السياسة عمّا يمكن للعنوان إثباته.

ثلاثة أسئلة في طلب سياسة واحد

قسّم الطلب إلى ثلاثة أجزاء: من أين يأتي الاتصال، وأي خدمة يمكنه الوصول إليها، وأي حاسوب يقدّم بيان الاعتماد. قاعدة عنوان المصدر تجيب عن الأول، وقاعدة خدمة الوجهة تجيب عن الثاني. لا أي منهما يحدد الجهاز المادي، لأن كليهما يعمل على حقول شبكية تشترك فيها أجهزة كثيرة. الثالث يحتاج إلى بيان اعتماد صادر لذلك الجهاز وغير قابل لإعادة الاستخدام بصمت.

اكتب الإجابات الثلاث منفصلة. سطر واحد في جدار الحماية لا يمكن أن يلبي متطلبًا يسمّي ثلاثة.

ما يمكن لعنوان المصدر أن يخبرك به

ترجمة العناوين هي السبب المعتاد في أن قاعدة أصل الشبكة تسمح بأكثر من اللازم. كل شيء خلف مخرج مكتب واحد يظهر بالعنوان العام نفسه، لذا تمنح القاعدة المجموعة كلها. العنوان الثابت داخل VPN يعاني الضعف نفسه في موضع آخر: فهو تعيين مرتبط بجلسة لا خاصية من خصائص العتاد. أي جهاز يحمل بيان اعتماد مقبول يمكنه فتح تلك الجلسة. عامل العنوان كقيد شبكي وصفه بهذا الشكل.

هذا ما يزال مفيدًا للحد من التعرض، وهو ليس مصادقة جهاز.

اربط الوصول ببيان اعتماد مسجّل

إذا كان المطلوب تقييد الأجهزة، فاستخدم التسجيل المدعوم لكل جهاز في VPN وأعطِ كل حاسوب هوية مميزة.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

يعرض سرد المخزن الشهادة وما إذا كان مفتاح خاص موجودًا، ويظهر التحقق ما إذا كانت السلسلة تؤدي إلى المرساة المقصودة. الشهادة تثبت حيازة المفتاح الخاص المقبول وفق السياسة المهيأة، لكنها لا تثبت أي جهاز مادي حازه حين يمكن تصدير ذلك المفتاح ونسخه. تسمية الملف الشخصي باسم الحاسوب المحمول تترك السر على نفس قابلية النقل. حيث تدعم المنصة ذلك، تمنح المفاتيح المحمية بالعتاد مع سياسة إثبات ربطًا أقوى، ولا يزال التسجيل عليه أن يقرر من يحق له استلام بيان الاعتماد.

اختبر الحدود ثم خطط للإزالة

قيّم حالتين: الحاسوب المحمول المعتمد والمستخدم يجب أن يتصلا، وجهاز آخر يحمل حساب المستخدم فقط يجب ألا يتصل. إذا كان التصميم يتطلب فحصًا للمستخدم وآخر للجهاز، فتحقق من أن الطريقة المختارة تفرض الاثنين في الجلسة نفسها بدلًا من افتراض أن إعدادين مستقلين يتحدان.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

يجب أن يزيل الإبطال هوية الجهاز المقبولة، ومعالجة الجلسات النشطة تستحق اختبارًا خاصًا. TPM أو علامة جهاز مُدار ليست شهادة سلام لكل عملية على الجهاز.

سجّل القيد الشبكي وبيان اعتماد الجهاز وقرار التسجيل كثلاثة ضوابط بثلاثة مالكين. هذا يجعل الحدود قابلة للمراجعة، وهو ما لا يستطيع العنوان وحده تقديمه أبدًا.