IP অনুমতিসূচি বনাম অনুমোদিত ল্যাপটপ: দুই ভিন্ন নিয়ন্ত্রণ
লগইন কোথা থেকে আসে তা সীমিত করলে কোন কম্পিউটার তা ব্যবহার করতে পারবে তাও সীমিত হয় না। উৎস, ডিভাইস-শংসাপত্র ও নথিভুক্তির সিদ্ধান্ত আলাদা করুন।
কেবল অনুমোদিত ল্যাপটপ সংযুক্ত হতে পারবে এমন নিয়মের অনুরোধ প্রায়ই অফিসের পাবলিক ঠিকানার জন্য ফায়ারওয়াল এন্ট্রি হিসেবে শেষ হয়। ওই নিয়ম এখন ঠিকানার পেছনের প্রতিটি ডিভাইসকে অনুমোদন করে। প্রয়োজনীয়তা আর বাস্তবায়ন এক জিনিস নয়। নীতিটি কী চায় আর ঠিকানা কী প্রমাণ করতে পারে তা আলাদা করুন।
একটি নীতির অনুরোধে তিনটি প্রশ্ন
অনুরোধটি তিন ভাগে ভাগ করুন: সংযোগ কোথা থেকে আসে, কোন সেবায় পৌঁছাতে পারে, আর কোন কম্পিউটার শংসাপত্র উপস্থাপন করে। উৎস-ঠিকানার নিয়ম প্রথমটির উত্তর দেয়, গন্তব্য-সেবার নিয়ম দ্বিতীয়টির। কোনোটিই ভৌত মেশিন শনাক্ত করে না, কারণ দুটোই এমন নেটওয়ার্ক ক্ষেত্রে কাজ করে যা অনেক ডিভাইস ভাগ করে। তৃতীয়টির জন্য ওই ডিভাইসকে দেওয়া ও নীরবে পুনরায় ব্যবহারযোগ্য নয় এমন শংসাপত্র দরকার।
তিনটি উত্তর আলাদাভাবে লিখুন। একটি ফায়ারওয়াল লাইন তিনটি নাম ধরে ডাকা প্রয়োজন মেটাতে পারে না।
উৎস ঠিকানা আপনাকে কী বলতে পারে
ঠিকানা অনুবাদই সাধারণত নেটওয়ার্ক-উৎসের নিয়ম অতিরিক্ত অনুমোদনের কারণ। একটি অফিস ইগ্রেসের পেছনের সবকিছু একই পাবলিক ঠিকানা হিসেবে দেখা যায়, তাই নিয়মটি পুরো দলকে অনুমতি দেয়। VPN-এর ভেতরে স্থির ঠিকানার একই দুর্বলতা অন্য জায়গায়: এটি হার্ডওয়্যারের বৈশিষ্ট্য নয়, সেশনভিত্তিক বরাদ্দ। গৃহীত শংসাপত্রধারী যেকোনো ডিভাইস সেই সেশন খুলতে পারে। ঠিকানাকে নেটওয়ার্ক সীমাবদ্ধতা হিসেবে দেখুন এবং ঠিক সেভাবেই বর্ণনা করুন।
এটি ঝুঁকি সীমিত করার জন্য এখনও কাজে লাগে, এবং এটি ডিভাইস প্রমাণীকরণ নয়।
নিবন্ধিত শংসাপত্রে প্রবেশাধিকার বাঁধুন
প্রয়োজনীয়তা যদি ডিভাইস সীমাবদ্ধতা হয়, VPN-এর সমর্থিত প্রতি-ডিভাইস নিবন্ধন ব্যবহার করুন এবং প্রতিটি কম্পিউটারকে আলাদা পরিচয় দিন।
certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pemস্টোর তালিকা শংসাপত্রটি এবং কোনো ব্যক্তিগত কী আছে কি না দেখায়, আর যাচাই দেখায় যে শৃঙ্খলটি অভীষ্ট অ্যাঙ্করে পৌঁছায় কি না। শংসাপত্র কনফিগার করা নীতির অধীনে গৃহীত ব্যক্তিগত কী-এর অধিকার প্রমাণ করে; ওই কী রপ্তানি ও অনুলিপি করা গেলে কোন ভৌত মেশিন তা ধারণ করেছিল তা প্রমাণ করে না। প্রোফাইলের নাম ল্যাপটপের নামে রাখলে গোপনীয়তা আগের মতোই বহনযোগ্য থাকে। যেখানে প্ল্যাটফর্ম সমর্থন করে, অ্যাটেস্টেশন নীতিসহ হার্ডওয়্যার-সুরক্ষিত কী আরও দৃঢ় বন্ধন দেয়, আর নিবন্ধনকে এখনও ঠিক করতে হয় কে শংসাপত্র পেতে পারে।
সীমানা পরীক্ষা করুন, তারপর অপসারণের পরিকল্পনা করুন
দুটি ক্ষেত্র যাচাই করুন: অনুমোদিত ল্যাপটপ ও ব্যবহারকারী সংযুক্ত হতে পারবে, আর কেবল ব্যবহারকারীর অ্যাকাউন্টধারী অন্য ডিভাইস পারবে না। নকশায় ব্যবহারকারী ও ডিভাইস দুটোরই যাচাই দরকার হলে, নির্বাচিত পদ্ধতি একই সেশনে দুটোই কার্যকর করে কি না যাচাই করুন, দুটি স্বতন্ত্র সেটিং একত্র হয় ধরে নেওয়ার বদলে।
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.keyপ্রত্যাহারকে গৃহীত ডিভাইস পরিচয় সরাতে হবে, আর সক্রিয় সেশন পরিচালনা আলাদা পরীক্ষার যোগ্য। TPM বা ম্যানেজড-ডিভাইস ফ্ল্যাগ মেশিনের প্রতিটি প্রক্রিয়ার জন্য নিখুঁত সুস্থতার সনদ নয়।
নেটওয়ার্ক সীমাবদ্ধতা, ডিভাইস শংসাপত্র ও নিবন্ধন সিদ্ধান্ত তিনজন মালিকসহ তিনটি নিয়ন্ত্রণ হিসেবে নথিভুক্ত করুন। এটি সীমানাকে পুনর্বিবেচনাযোগ্য করে, আর কেবল একটি ঠিকানা কখনও তা দিতে পারে না।