IP-permeslisto kontraŭ aprobita tekokomputilo: du malsamaj kontroloj

Petoj pri regulo, ke nur la aprobita tekokomputilo rajtas konektiĝi, ofte finiĝas kiel fajroŝirma enskribo por la publika adreso de la oficejo. Tiu regulo nun allasas ĉiun aparaton malantaŭ la adreso. La postulo kaj la efektivigo ne estas la sama afero. Apartigu tion, kion la politiko volas, de tio, kion la adreso povas pruvi.

Tri demandoj en unu politika peto

Dividu la peton en tri partojn: de kie la konekto venas, kiun servon ĝi rajtas atingi, kaj kiu komputilo prezentas la legitimilon. Regulo pri fonta adreso respondas la unuan, kaj regulo pri cella servo la duan. Neni unu identigas la fizikan maŝinon, ĉar ambaŭ funkcias sur retaj kampoj, kiujn multaj aparatoj kunhavigas. La tria bezonas legitimilon eldonitan al tiu aparato kaj ne silence reuzeblan.

Skribu la tri respondojn aparte. Unu fajroŝirma linio ne povas plenumi postulon, kiu nomas tri.

Kion la fonta adreso povas diri al vi

Adresa tradukado estas la kutima kialo, ke regulo pri reta deveno allasas tro multe. Ĉio malantaŭ unu oficeja eliro aperas kiel la sama publika adreso, do la regulo permesas la tutan grupon. Fiksa adreso ene de la VPN havas la saman malfortecon aliloke: ĝi estas atribuo ligita al sesio, ne eco de aparataro. Iu ajn aparato havanta akceptitan legitimilon povas malfermi tiun sesion. Traktu la adreson kiel retan limigon kaj priskribu ĝin tiel.

Tio ankoraŭ utilas por limigi eksponiĝon, kaj ĝi ne estas aparata aŭtentikigo.

Ligu aliron al aliĝinta legitimilo

Se la postulo estas aparata limigo, uzu la de VPN subtenatan aliĝon por ĉiu aparato kaj donu al ĉiu komputilo apartan identecon.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

La stoka listo montras la atestilon kaj ĉu privata ŝlosilo ĉeestas, kaj la kontrolo montras, ĉu la ĉeno kondukas al la celita ankro. Atestilo pruvas posedon de la akceptita privata ŝlosilo laŭ la agordita politiko; ĝi ne pruvas, kiu fizika maŝino havis ĝin, kiam tiu ŝlosilo povas esti eksportita kaj kopiita. Nomigi la profilon laŭ la tekokomputilo lasas la sekreton same portebla kiel antaŭe. Kie la platformo subtenas tion, aparatare protektitaj ŝlosiloj kun atesta politiko donas pli fortan ligon, kaj aliĝo ankoraŭ devas decidi, kiu rajtas ricevi la legitimilon.

Testu la limon, poste planu la forigon

Takson du kazojn: la aprobita tekokomputilo kaj la uzanto devas konektiĝi, kaj alia aparato havanta nur la konton de la uzanto ne devas. Se la dezajno postulas kaj uzantan kaj aparatan kontrolon, kontrolu, ĉu la elektita metodo trudas ambaŭ en la sama sesio anstataŭ supozi, ke du sendependaj agordoj kombiniĝas.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Revoko devas forigi la akceptitan aparatan identecon, kaj traktado de aktivaj sesioj meritas propran teston. TPM aŭ markilo de administrata aparato ne estas pura sanatestilo por ĉiu procezo sur la maŝino.

Registru la retan limigon, la aparatan legitimilon kaj la aliĝan decidon kiel tri kontrolojn kun tri posedantoj. Tio igas la limon revidebla, kaj tion sola adreso neniam povas doni.