IP icazə siyahısı və təsdiqlənmiş noutbuk: iki fərqli nəzarət

Yalnız təsdiqlənmiş noutbukun qoşula bilməsi üçün qayda tələbləri çox vaxt ofisin ümumi ünvanı üçün firewall qeydi kimi bitir. Həmin qayda artıq ünvanın arxasındakı hər cihazı qəbul edir. Tələb və tətbiq eyni şey deyil. Siyasətin istədiyini ünvanın sübut edə biləcəyindən ayırın.

Bir siyasət tələbində üç sual

Tələbi üç hissəyə bölün: əlaqənin haradan gəldiyi, hansı xidmətə çata bildiyi və hansı kompüterin etimadnaməni təqdim etdiyi. Mənbə ünvanı qaydası birinciyə cavab verir, təyinat xidməti qaydası ikinciyə. Heç biri fiziki maşını müəyyən etmir, çünki hər ikisi çox cihazın paylaşdığı şəbəkə sahələri üzərində işləyir. Üçüncü, həmin cihaza verilmiş və səssizcə təkrar istifadə oluna bilməyən etimadnamə tələb edir.

Üç cavabı ayrı-ayrılıqda yazın. Tək bir firewall sətri üç şeyi adlandıran tələbi ödəyə bilməz.

Mənbə ünvanının sizə deyə biləcəyi

Ünvan çevrilməsi şəbəkə mənşəli qaydanın həddindən artıq icazə verməsinin adi səbəbidir. Bir ofis çıxışının arxasındakı hər şey eyni ümumi ünvan kimi görünür, buna görə qayda bütün qrupa icazə verir. VPN daxilində sabit ünvan eyni zəifliyə başqa yerdə malikdir: o, aparat xassəsi deyil, sessiyaya bağlanmış təyinatdır. Qəbul edilmiş etimadnamə daşıyan istənilən cihaz həmin sessiyanı aça bilər. Ünvana şəbəkə məhdudiyyəti kimi baxın və elə təsvir edin.

Bu, məruz qalmanı məhdudlaşdırmaq üçün hələ də faydalıdır və cihaz autentifikasiyası deyil.

Girişi qeydiyyatdan keçmiş etimadnaməyə bağlayın

Tələb cihaz məhdudiyyətidirsə, VPN-in dəstəklədiyi hər cihaz üzrə qeydiyyatdan istifadə edin və hər kompüterə fərqli kimlik verin.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Anbar siyahısı sertifikatı və şəxsi açarın olub-olmadığını göstərir, yoxlama isə zəncirin nəzərdə tutulan ankora aparıb-aparmadığını göstərir. Sertifikat konfiqurasiya edilmiş siyasət çərçivəsində qəbul edilmiş şəxsi açara sahibliyi sübut edir; o açar ixrac edilib kopyalana bildiyi halda hansı fiziki maşının ona sahib olduğunu sübut etmir. Profili noutbukun adı ilə adlandırmaq sirri əvvəlki kimi daşınabilir qoyur. Platforma dəstəklədiyi yerdə, attestasiya siyasəti ilə aparatla qorunan açarlar daha güclü bağlanma verir və qeydiyyat yenə də etimadnaməni kimin ala biləcəyinə qərar verməlidir.

Sərhədi sınayın, sonra silinməni planlayın

İki halı qiymətləndirin: təsdiqlənmiş noutbuk və istifadəçi qoşulmalıdır, yalnız istifadəçinin hesabını daşıyan başqa cihaz isə qoşulmamalıdır. Dizayn həm istifadəçi, həm cihaz yoxlaması tələb edirsə, seçilmiş metodun hər ikisini eyni sessiyada tətbiq etdiyini yoxlayın, iki müstəqil parametrin birləşdiyini fərz etmək əvəzinə.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Ləğvetmə qəbul edilmiş cihaz kimliyini silməlidir və aktiv sessiyaların idarəsi öz testini haqq edir. TPM və ya idarə olunan cihaz bayrağı maşındakı hər proses üçün təmiz sağlamlıq arayışı deyil.

Şəbəkə məhdudiyyətini, cihaz etimadnaməsini və qeydiyyat qərarını üç sahiblə üç nəzarət kimi qeyd edin. Bu, sərhədi yoxlanıla bilən edir və yalnız ünvanın heç vaxt verə bilməyəcəyi şey budur.