IP-lubatud loend vs kinnitatud sülearvuti: kaks erinevat kontrolli

Nõuded reeglile, mille järgi tohib ühenduda ainult kinnitatud sülearvuti, lõpevad sageli kontori avaliku aadressi tulemüürikirjena. See reegel lubab nüüd iga seadet aadressi taga. Nõue ja teostus ei ole sama asi. Eraldage see, mida poliitika tahab, sellest, mida aadress suudab tõestada.

Kolm küsimust ühes poliitikanõudes

Jagage nõue kolmeks: kust ühendus tuleb, millisele teenusele see pääseb ja milline arvuti esitab volituse. Lähteaadressi reegel vastab esimesele ja sihtteenuse reegel teisele. Kumbki ei tuvasta füüsilist masinat, sest mõlemad töötavad võrguväljadel, mida paljud seadmed jagavad. Kolmas vajab sellele seadmele väljastatud volitust, mida ei saa vaikselt uuesti kasutada.

Kirjutage kolm vastust eraldi üles. Üks tulemüüri rida ei saa täita nõuet, mis nimetab kolme.

Mida lähteaadress teile öelda võib

Aadresside tõlkimine on tavaline põhjus, miks võrgupäritolu reegel lubab liiga palju. Kõik ühe kontori väljapääsu taga paistab sama avaliku aadressina, seega reegel annab loa kogu grupile. Fikseeritud aadress VPN-i sees on sama nõrkusega mujal: see on sessiooniga seotud määramine, mitte riistvara omadus. Iga aktsepteeritud volitusega seade saab selle sessiooni avada. Käsitlege aadressi võrgupiiranguna ja kirjeldage seda nii.

See on endiselt kasulik kokkupuute piiramiseks ja see ei ole seadme autentimine.

Siduge juurdepääs registreeritud volitusega

Kui nõue on seadme piirang, kasutage VPN-i toetatud seadmepõhist registreerimist ja andke igale arvutile eraldi identiteet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Hoidla loend näitab sertifikaati ja seda, kas privaatvõti on olemas, ning kontroll näitab, kas ahel viib kavandatud ankruni. Sertifikaat tõestab seatud poliitika alusel aktsepteeritud privaatvõtme valdamist; see ei tõesta, milline füüsiline masin seda valdas, kui võtit saab eksportida ja kopeerida. Profiili nimetamine sülearvuti järgi jätab saladuse sama teisaldatavaks kui enne. Kui platvorm seda toetab, annavad riistvarakaitsega võtmed koos atesteerimispoliitikaga tugevama sideme, ja registreerimine peab ikkagi otsustama, kes volituse saada võib.

Testige piiri, seejärel kavandage eemaldamine

Hinnake kahte juhtumit: kinnitatud sülearvuti ja kasutaja peavad ühenduma, ning teine seade, millel on ainult kasutaja konto, ei tohi. Kui kavand nõuab nii kasutaja- kui ka seadmekontrolli, veenduge, et valitud meetod kehtestab mõlemad samas sessioonis, mitte ei eelda, et kaks sõltumatut seadet liituvad.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Tühistamine peab eemaldama aktsepteeritud seadme identiteedi, ja aktiivsete sessioonide käsitlemine väärib omaette testi. TPM või hallatava seadme lipp ei ole puhta tervise tõend masina iga protsessi jaoks.

Registreerige võrgupiirang, seadme volitus ja registreerimisotsus kolme kontrollina kolme omanikuga. See muudab piiri ülevaatamiseks sobivaks ja just seda ei suuda ükski aadress kunagi pakkuda.