IP списък с разрешени срещу одобрен лаптоп: два различни контрола

Заявките за правило, при което да се свързва само одобреният лаптоп, често завършват като запис в защитната стена за публичния адрес на офиса. Това правило вече допуска всяко устройство зад адреса. Изискването и реализацията не са едно и също. Разделете какво иска политиката от това, което адресът може да докаже.

Три въпроса в една заявка за политика

Разделете заявката на три части: откъде идва връзката, кой услуга може да достигне и кой компютър представя идентификационните данни. Правило за адрес на източника отговаря на първото, а правило за услуга на дестинацията на второто. Нито едно не идентифицира физическата машина, защото и двете работят с мрежови полета, които много устройства споделят. Третото изисква идентификационни данни, издадени на това устройство и невъзможни за тихо повторно използване.

Запишете трите отговора поотделно. Един ред в защитната стена не може да удовлетвори изискване, което назовава три.

Какво може да ви каже адресът на източника

Транслацията на адреси е обичайната причина правило за мрежов произход да допуска твърде много. Всичко зад един офис изход изглежда като същия публичен адрес, затова правилото дава достъп на цялата група. Фиксиран адрес вътре във VPN има същата слабост на друго място: той е назначение, прикачено към сесия, а не свойство на хардуера. Всяко устройство с приети идентификационни данни може да отвори тази сесия. Отнасяйте се към адреса като мрежово ограничение и го описвайте точно така.

Това все още е полезно за ограничаване на излагането и не е удостоверяване на устройство.

Обвържете достъпа с регистрирани идентификационни данни

Ако изискването е ограничение на устройството, използвайте поддържаната от VPN регистрация за всяко устройство и дайте на всеки компютър отделна идентичност.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Списъкът в хранилището показва сертификата и дали има частен ключ, а проверката показва дали веригата води до предвидения котва. Сертификатът доказва притежание на приетия частен ключ при зададената политика; той не доказва коя физическа машина го е държала, когато този ключ може да бъде изнесен и копиран. Наименуването на профила на лаптопа оставя тайната точно толкова преносима, колкото преди. Където платформата го поддържа, хардуерно защитени ключове с политика за удостоверяване дават по-силно обвързване, а регистрацията все още трябва да реши кой може да получи идентификационните данни.

Тествайте границата, после планирайте премахването

Оценете два случая: одобреният лаптоп и потребителят трябва да се свържат, а друго устройство само с акаунта на потребителя не трябва. Ако дизайнът изисква проверка и на потребителя, и на устройството, проверете дали избраният метод налага и двете в една и съща сесия, вместо да предполага, че две независими настройки се комбинират.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Отмяната трябва да премахне приетата идентичност на устройството, а работата с активни сесии заслужава собствен тест. TPM или флаг за управлявано устройство не е чисто свидетелство за здраве за всеки процес на машината.

Запишете мрежовото ограничение, идентификационните данни на устройството и решението за регистрация като три контрола с три собственика. Това прави границата прегледима и това е, което един адрес никога не може да осигури.