Rhestr caniatáu IP yn erbyn gliniadur a gymeradwywyd: dau reolaeth wahanol

Yn aml, mae ceisiadau am reol mai dim ond y gliniadur a gymeradwywyd a gaiff gysylltu yn gorffen fel cofnod wal dân ar gyfer cyfeiriad cyhoeddus y swyddfa. Mae'r rheol honno bellach yn derbyn pob dyfais y tu ôl i'r cyfeiriad. Nid yw'r gofyniad a'r gweithrediad yr un peth. Gwahaniaethwch rhwng yr hyn y mae'r polisi ei eisiau a'r hyn y gall y cyfeiriad ei brofi.

Tri chwestiwn mewn un cais polisi

Rhannwch y cais yn dri rhan: o ble y daw'r cysylltiad, pa wasanaeth y gall ei gyrraedd, a pha gyfrifiadur sy'n cyflwyno'r cymhwyster. Mae rheol cyfeiriad tarddol yn ateb y cyntaf, a rheol gwasanaeth cyrchfan yn ateb yr ail. Nid yw'r naill na'r llall yn nodi'r peiriant corfforol, gan fod y ddau yn gweithio ar feysydd rhwydwaith a rennir gan lawer o ddyfeisiau. Mae'r trydydd angen cymhwyster a roddwyd i'r ddyfais honno ac nad yw'n ailadroddadwy yn ddistaw.

Ysgrifennwch y tri ateb ar wahân. Ni all un llinell wal dân fodloni gofyniad sy'n enwi tri.

Beth y gall y cyfeiriad tarddol ei ddweud wrthych

Cyfieithu cyfeiriadau yw'r rheswm arferol dros i reol tarddiad rhwydwaith or-dderbyn. Mae popeth y tu ôl i un allanfa swyddfa yn ymddangos fel yr un cyfeiriad cyhoeddus, felly mae'r rheol yn caniatáu'r grŵp cyfan. Mae gan gyfeiriad sefydlog y tu mewn i'r VPN yr un gwendid mewn man arall: aseiniad yw sy'n gysylltiedig â sesiwn yn hytrach na nodwedd caledwedd. Gall unrhyw ddyfais sy'n dal cymhwyster a dderbyniwyd agor y sesiwn honno. Trinwch y cyfeiriad fel cyfyngiad rhwydwaith a'i ddisgrifio felly.

Mae hynny'n dal yn ddefnyddiol ar gyfer cyfyngu amlygiad, ac nid yw'n dilysu dyfais.

Clymwch fynediad wrth gymhwyster cofrestredig

Os mai cyfyngiad dyfais yw'r gofyniad, defnyddiwch gofrestriad fesul dyfais a gefnogir gan y VPN a rhowch hunaniaeth wahanol i bob cyfrifiadur.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Mae'r rhestr storio yn dangos y tystysgrif ac a oes allwedd breifat yn bresennol, ac mae'r gwirio yn dangos a yw'r gadwyn yn arwain at yr angor a fwriedir. Mae tystysgrif yn profi meddiant o'r allwedd breifat a dderbyniwyd o dan y polisi a ffurfiwyd; nid yw'n profi pa beiriant corfforol a'i dalodd pan ellir allforio a chopïo'r allwedd honno. Mae enwi'r proffil ar ôl y gliniadur yn gadael y gyfrinach yr un mor gludadwy ag o'r blaen. Lle mae'r platfform yn cefnogi hyn, mae allweddi a warchodir gan galedwedd gyda pholisi tystiolaethu yn rhoi clymu cryfach, ac mae'n rhaid i gofrestriad benderfynu o hyd pwy a gaiff dderbyn y cymhwyster.

Profwch y ffin, yna cynlluniwch y tynnu'n ôl

Gwerthuswch ddau achos: dylai'r gliniadur a'r defnyddiwr a gymeradwywyd gysylltu, ac ni ddylai dyfais arall sy'n dal cyfrif y defnyddiwr yn unig wneud hynny. Os yw'r cynllun yn gofyn am wiriad defnyddiwr a gwirio dyfais, gwiriwch fod y dull a ddewiswyd yn gorfodi'r ddau yn yr un sesiwn yn lle tybio bod dau osodiad annibynnol yn cyfuno.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Rhaid i ddirymu dynnu hunaniaeth y ddyfais a dderbyniwyd, ac mae trin sesiynau gweithredol yn haeddu prawf ei hun. Nid yw TPM na baner dyfais a reolir yn dystysgrif iechyd glân ar gyfer pob proses ar y peiriant.

Cofnodwch y cyfyngiad rhwydwaith, cymhwyster y ddyfais a'r penderfyniad cofrestru fel tair rheolaeth gyda thri pherchennog. Mae hynny'n gwneud y ffin yn adolygadwy, a dyna'r hyn na all cyfeiriad ar ei ben ei hun byth ei ddarparu.