IP-Allowlist oder freigegebener Laptop: zwei verschiedene Kontrollen

Anforderungen nach einer Regel, dass sich nur der freigegebene Laptop verbinden darf, enden oft als Firewall-Eintrag für die öffentliche Adresse des Büros. Diese Regel lässt nun jedes Gerät hinter der Adresse zu. Anforderung und Umsetzung sind nicht dasselbe. Trennen Sie, was die Richtlinie will, von dem, was die Adresse beweisen kann.

Drei Fragen in einer Richtlinienanforderung

Teilen Sie die Anforderung in drei Teile: woher die Verbindung kommt, welchen Dienst sie erreichen darf und welcher Computer den Nachweis vorlegt. Eine Quelladressregel beantwortet das Erste, eine Zieldienstregel das Zweite. Keine von beiden identifiziert die physische Maschine, weil beide auf Netzwerkfeldern arbeiten, die viele Geräte teilen. Das Dritte braucht einen Nachweis, der für dieses Gerät ausgestellt wurde und nicht stillschweigend wiederverwendbar ist.

Schreiben Sie die drei Antworten getrennt auf. Eine einzelne Firewall-Zeile kann eine Anforderung, die drei nennt, nicht erfüllen.

Was die Quelladresse Ihnen sagen kann

Adressübersetzung ist der übliche Grund, warum eine Netzwerkherkunftsregel zu viel zulässt. Alles hinter einem Büroausgang erscheint als dieselbe öffentliche Adresse, daher gewährt die Regel der ganzen Gruppe Zugang. Eine feste Adresse innerhalb des VPN hat dieselbe Schwäche an anderer Stelle: Sie ist eine Zuweisung, die an eine Sitzung gebunden ist, keine Eigenschaft der Hardware. Jedes Gerät mit einem akzeptierten Nachweis kann diese Sitzung öffnen. Behandeln Sie die Adresse als Netzwerkbeschränkung und beschreiben Sie sie so.

Das ist weiterhin nützlich, um die Exposition zu begrenzen, und es ist keine Geräteauthentifizierung.

Binden Sie den Zugang an einen registrierten Nachweis

Wenn die Anforderung eine Gerätebeschränkung ist, nutzen Sie die vom VPN unterstützte Registrierung pro Gerät und geben Sie jedem Computer eine eigene Identität.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Die Speicherauflistung zeigt das Zertifikat und ob ein privater Schlüssel vorhanden ist, und die Prüfung zeigt, ob die Kette zum vorgesehenen Anker führt. Ein Zertifikat belegt den Besitz des akzeptierten privaten Schlüssels unter der konfigurierten Richtlinie; es belegt nicht, welche physische Maschine ihn hatte, wenn dieser Schlüssel exportiert und kopiert werden kann. Den Profilnamen nach dem Laptop zu wählen, lässt das Geheimnis genauso übertragbar wie zuvor. Wo die Plattform es unterstützt, geben hardwaregeschützte Schlüssel mit einer Attestierungsrichtlinie eine stärkere Bindung, und die Registrierung muss weiterhin entscheiden, wer den Nachweis erhalten darf.

Prüfen Sie die Grenze, planen Sie dann die Entfernung

Bewerten Sie zwei Fälle: Der freigegebene Laptop und der Benutzer sollen sich verbinden, ein anderes Gerät, das nur das Benutzerkonto hat, nicht. Wenn das Design sowohl eine Benutzer- als auch eine Geräteprüfung verlangt, prüfen Sie, ob die gewählte Methode beides in derselben Sitzung durchsetzt, statt anzunehmen, zwei unabhängige Einstellungen würden sich ergänzen.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Der Widerruf muss die akzeptierte Geräteidentität entfernen, und der Umgang mit aktiven Sitzungen verdient einen eigenen Test. Ein TPM oder eine Kennzeichnung als verwaltetes Gerät ist kein sauberes Gesundheitszeugnis für jeden Prozess auf der Maschine.

Erfassen Sie die Netzwerkbeschränkung, den Gerätenachweis und die Registrierungsentscheidung als drei Kontrollen mit drei Verantwortlichen. Das macht die Grenze überprüfbar, und genau das kann eine Adresse allein nie leisten.