Seznam povolených IP versus schválený notebook: dvě různá kontroly

Žádosti o pravidlo, podle kterého se smí připojit jen schválený notebook, často skončí jako záznam ve firewallu pro veřejnou adresu kanceláře. Toto pravidlo teď propouští každé zařízení za adresou. Požadavek a implementace nejsou totéž. Oddělte, co chce politika, od toho, co adresa dokáže prokázat.

Tři otázky v jedné žádosti o politiku

Rozdělte žádost na tři části: odkud připojení přichází, kterou službu smí zasáhnout a který počítač předkládá přihlašovací údaj. Pravidlo zdrojové adresy odpovídá na první, pravidlo cílové služby na druhé. Ani jedno neidentifikuje fyzický stroj, protože obě pracují se síťovými poli, která mnoho zařízení sdílí. Třetí potřebuje údaj vydaný tomuto zařízení a neopakovatelný bez povšimnutí.

Zapište tři odpovědi odděleně. Jediný řádek ve firewallu nemůže splnit požadavek, který jmenuje tři.

Co vám zdrojová adresa může říct

Překlad adres je obvyklým důvodem, proč pravidlo síťového původu propouští příliš mnoho. Vše za jedním výstupem kanceláře se jeví jako stejná veřejná adresa, takže pravidlo povolí celou skupinu. Pevná adresa uvnitř VPN má stejnou slabinu jinde: je to přiřazení vázané na relaci, nikoli vlastnost hardwaru. Jakékoli zařízení s přijatým údajem může tuto relaci otevřít. Berte adresu jako síťové omezení a tak ji také popisujte.

To je stále užitečné pro omezení expozice a není to ověřování zařízení.

Svažte přístup s registrovaným údajem

Pokud je požadavkem omezení zařízení, použijte VPN podporovanou registraci pro každé zařízení a dejte každému počítači jedinečnou identitu.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Výpis úložiště ukazuje certifikát a zda je přítomen soukromý klíč, a ověření ukazuje, zda řetěz vede k zamýšlené kotvě. Certifikát prokazuje držení přijatého soukromého klíče podle nastavené politiky; neprokazuje, který fyzický stroj jej měl, když lze tento klíč exportovat a zkopírovat. Pojmenování profilu podle notebooku ponechá tajemství stejně přenosné jako dřív. Kde to platforma podporuje, hardwarově chráněné klíče s politikou atestace dávají silnější svázání a registrace stále musí rozhodnout, kdo smí údaj dostat.

Otestujte hranici, pak naplánujte odebrání

Vyhodnoťte dva případy: schválený notebook a uživatel se mají připojit, jiné zařízení, které má jen uživatelský účet, ne. Pokud návrh vyžaduje kontrolu uživatele i zařízení, ověřte, že zvolená metoda obojí vynucuje ve stejné relaci, místo aby předpokládala, že se dvě nezávislá nastavení kombinují.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Odvolání musí odstranit přijatou identitu zařízení a práce s aktivními relacemi si zaslouží vlastní test. TPM nebo příznak spravovaného zařízení není čistý zdravotní průkaz pro každý proces na stroji.

Zaznamenejte síťové omezení, údaj zařízení a rozhodnutí o registraci jako tři kontroly se třemi vlastníky. To činí hranici přezkoumatelnou, a to je něco, co samotná adresa nikdy nemůže poskytnout.