Llista d'IP permeses o portàtil aprovat: dos controls diferents

Les peticions d'una regla que només permeti connectar el portàtil aprovat sovint acaben com una entrada de tallafoc per a l'adreça pública de l'oficina. Aquesta regla ara admet tots els dispositius darrere de l'adreça. El requisit i la implementació no són la mateixa cosa. Separeu què vol la política del que l'adreça pot demostrar.

Tres preguntes en una sola petició de política

Dividiu la petició en tres parts: d'on ve la connexió, a quin servei pot arribar i quin ordinador presenta la credencial. Una regla d'adreça d'origen respon la primera, i una regla de servei de destinació respon la segona. Cap de les dues identifica la màquina física, perquè totes dues operen sobre camps de xarxa que comparteixen molts dispositius. La tercera necessita una credencial emesa a aquell dispositiu i que no es pugui reutilitzar silenciosament.

Escriviu les tres respostes per separat. Una sola línia de tallafoc no pot satisfer un requisit que n'anomena tres.

Què us pot dir l'adreça d'origen

La traducció d'adreces és la raó habitual per la qual una regla d'origen de xarxa admet massa. Tot el que hi ha darrere d'una sortida d'oficina apareix com la mateixa adreça pública, així que la regla concedeix tot el grup. Una adreça fixa dins de la VPN té la mateixa feblesa en un altre lloc: és una assignació lligada a una sessió, no una propietat del maquinari. Qualsevol dispositiu amb una credencial acceptada pot obrir aquella sessió. Tracteu l'adreça com una restricció de xarxa i descriviu-la així.

Això encara és útil per limitar l'exposició, i no és autenticació de dispositiu.

Lligueu l'accés a una credencial donada d'alta

Si el requisit és la restricció de dispositiu, feu servir l'alta per dispositiu compatible amb la VPN i doneu a cada ordinador una identitat diferent.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

El llistat del magatzem mostra el certificat i si hi ha una clau privada, i la verificació mostra si la cadena porta a l'àncora prevista. Un certificat demostra la possessió de la clau privada acceptada segons la política configurada; no demostra quina màquina física la tenia quan aquesta clau es pot exportar i copiar. Anomenar el perfil com el portàtil deixa el secret exactament tan portàtil com abans. On la plataforma ho admet, les claus protegides per maquinari amb una política d'atestació donen un lligam més fort, i l'alta encara ha de decidir qui pot rebre la credencial.

Proveu la frontera i després planifiqueu la retirada

Avalueu dos casos: el portàtil aprovat i l'usuari s'han de connectar, i un altre dispositiu que només tingui el compte de l'usuari no ho ha de fer. Si el disseny exigeix una comprovació d'usuari i una de dispositiu, verifiqueu que el mètode triat aplica les dues a la mateixa sessió en lloc de suposar que dues opcions independents es combinen.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

La revocació ha de retirar la identitat acceptada del dispositiu, i el tractament de les sessions actives mereix una prova pròpia. Un TPM o un indicador de dispositiu gestionat no és un certificat net de salut per a cada procés de la màquina.

Registreu la restricció de xarxa, la credencial del dispositiu i la decisió d'alta com tres controls amb tres responsables. Això fa la frontera revisable, i és el que una adreça sola mai no pot proporcionar.