IP-tilladelsesliste kontra godkendt bærbar computer: to forskellige kontroller

Anmodninger om en regel, hvor kun den godkendte bærbare computer må forbinde, ender ofte som en firewall-post for kontorets offentlige adresse. Den regel lukker nu alle enheder bag adressen ind. Kravet og implementeringen er ikke det samme. Adskil, hvad politikken vil, fra hvad adressen kan bevise.

Tre spørgsmål i én politik-anmodning

Del anmodningen op i tre dele: hvor forbindelsen kommer fra, hvilken tjeneste den må nå, og hvilken computer der fremviser legitimationen. En kildeadresseregel besvarer det første, og en destinationsregel det andet. Ingen af dem identificerer den fysiske maskine, fordi begge arbejder på netværksfelter, som mange enheder deler. Det tredje kræver en legitimation udstedt til den enhed og ikke stiltiende genbrugelig.

Skriv de tre svar ned hver for sig. Én firewall-linje kan ikke opfylde et krav, der nævner tre.

Hvad kildeadressen kan fortælle dig

Adresseoversættelse er den sædvanlige grund til, at en netværksoprindelsesregel lukker for meget ind. Alt bag én kontoudgang vises som den samme offentlige adresse, så reglen giver hele gruppen adgang. En fast adresse inde i VPN'en har samme svaghed et andet sted: det er en tildeling knyttet til en session snarere end en egenskab ved hardwaren. Enhver enhed med en accepteret legitimation kan åbne den session. Behandl adressen som en netværksbegrænsning, og beskriv den sådan.

Det er stadig nyttigt til at begrænse eksponeringen, og det er ikke enhedsautentifikation.

Bind adgang til en tilmeldt legitimation

Hvis kravet er enhedsbegrænsning, brug VPN'ens understøttede tilmelding pr. enhed, og giv hver computer en særskilt identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lagerlisten viser certifikatet og om der findes en privat nøgle, og verifikationen viser, om kæden fører til det tilsigtede anker. Et certifikat beviser besiddelse af den accepterede private nøgle under den konfigurerede politik; det beviser ikke, hvilken fysisk maskine der havde den, når nøglen kan eksporteres og kopieres. At navngive profilen efter den bærbare computer efterlader hemmeligheden lige så flytbar som før. Hvor platformen understøtter det, giver hardwarebeskyttede nøgler med en attestationspolitik en stærkere binding, og tilmeldingen skal stadig beslutte, hvem der må modtage legitimationen.

Test grænsen, planlæg derefter fjernelsen

Vurder to tilfælde: den godkendte bærbare computer og brugeren skal kunne forbinde, og en anden enhed med kun brugerens konto skal ikke. Hvis designet kræver både et bruger- og et enhedstjek, skal du kontrollere, at den valgte metode håndhæver begge i samme session i stedet for at antage, at to uafhængige indstillinger kombineres.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Tilbagekaldelse skal fjerne den accepterede enhedsidentitet, og håndtering af aktive sessioner fortjener sin egen test. En TPM eller et flag for administreret enhed er ikke en ren sundhedsattest for hver proces på maskinen.

Registrér netværksbegrænsningen, enhedens legitimation og tilmeldingsbeslutningen som tre kontroller med tre ejere. Det gør grænsen reviderbar, og det er, hvad en adresse alene aldrig kan levere.