Спіс дазволеных IP і адабраны ноўтбук: два розныя сродкі кантролю

Запыты на правіла, па якім падключацца можа толькі адабраны ноўтбук, часта заканчваюцца запісам у міжсеткавым экране для публічнага адрасу офіса. Гэтае правіла цяпер пускае кожную прыладу за гэтым адрасам. Патрабаванне і рэалізацыя не адно і тое ж. Аддзяліце тое, чаго хоча палітыка, ад таго, што можа даказаць адрас.

Тры пытанні ў адным запыце палітыкі

Падзяліце запыт на тры часткі: адкуль прыходзіць злучэнне, які сэрвіс яно можа дасягнуць і які камп'ютар прад'яўляе ўліковыя даныя. Правіла адрасу крыніцы адказвае на першае, правіла сэрвісу прызначэння на другое. Ні адно не вызначае фізічную машыну, бо абодва працуюць з сеткавымі палямі, якія падзяляюць многія прылады. Трэцяе патрабуе ўліковых даных, выдадзеных гэтай прыладзе і не якія можна моўчкі паўторна выкарыстаць.

Запішыце тры адказы асобна. Адзін радок міжсеткавага экрана не можа задаволіць патрабаванне, якое называе тры.

Што можа сказаць адрас крыніцы

Трансляцыя адрасоў звычайная прычына, па якой правіла сеткавага паходжання дазваляе занадта шмат. Усё за адным выхадам офіса выглядае як той самы публічны адрас, таму правіла дае доступ усёй групе. Фіксаваны адрас унутры VPN мае тую ж слабасць у іншым месцы: гэта прызначэнне, прывязанае да сеансу, а не ўласцівасць абсталявання. Любая прылада з прынятымі ўліковымі данымі можа адкрыць гэты сеанс. Разглядайце адрас як сеткавае абмежаванне і апісвайце яго менавіта так.

Гэта ўсё яшчэ карысна для абмежавання ўздзеяння, і гэта не аўтэнтыфікацыя прылады.

Прывяжыце доступ да зарэгістраваных уліковых даных

Калі патрабаванне абмежаванне прылад, выкарыстоўвайце падтрымліваемую VPN рэгістрацыю для кожнай прылады і дайце кожнаму камп'ютару асобную ідэнтычнасць.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Спіс сховішча паказвае сертыфікат і наяўнасць прыватнага ключа, а праверка паказвае, ці вядзе ланцуг да патрэбнага якара. Сертыфікат даказвае валоданне прынятым прыватным ключом у межах наладжанай палітыкі; ён не даказвае, якая фізічная машына валодала ім, калі гэты ключ можна экспартаваць і скапіраваць. Назва профілю ў гонар ноўтбука пакідае сакрэт гэтак жа пераносным, як і раней. Там, дзе платформа падтрымлівае, абароненыя апаратна ключы з палітыкай атэстацыі даюць мацнейшую прывязку, а рэгістрацыя ўсё яшчэ павінна вырашаць, хто можа атрымаць уліковыя даныя.

Праверце мяжу, потым плануйце выдаленне

Ацаніце два выпадкі: адабраны ноўтбук і карыстальнік павінны падключыцца, а іншая прылада з адным толькі ўліковым запісам карыстальніка не павінна. Калі праект патрабуе праверкі і карыстальніка, і прылады, пераканайцеся, што абраны метад выконвае абедзве ў адным сеансе, а не мяркуе, што дзве незалежныя налады складаюцца.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Адкліканне павінна выдаляць прынятую ідэнтычнасць прылады, і апрацоўка актыўных сеансаў заслугоўвае асобнай праверкі. TPM або сцяг кіраванай прылады не з'яўляецца чыстай даведкай здароўя для кожнага працэсу на машыне.

Запішыце сеткавае абмежаванне, уліковыя даныя прылады і рашэнне аб рэгістрацыі як тры сродкі кантролю з трыма ўладальнікамі. Гэта робіць мяжу прыдатай для агляду, і гэта тое, чаго адзін адрас ніколі не можа даць.