IP baimen-zerrenda edo onartutako ordenagailu eramangarria: bi kontrol desberdin

Onartutako ordenagailu eramangarriak soilik konektatzeko arauaren eskaerak bulegoko helbide publikorako suebakiko sarrera gisa amaitzen dira sarritan. Arau horrek helbidearen atzean dagoen gailu guztiak onartzen ditu orain. Baldintza eta inplementazioa ez dira gauza bera. Bereizi politikak nahi duena helbideak froga dezakeenetik.

Hiru galdera politika-eskaera bakarrean

Zatitu eskaera hiru zatitan: nondik datorren konexioa, zein zerbitzutara irits daitekeen eta zein ordenagailuk aurkezten duen kredentziala. Iturburu-helbidearen arauak lehenengoa erantzuten du, eta helburu-zerbitzuaren arauak bigarrena. Biak ez dute makina fisikoa identifikatzen, biek gailu askok partekatzen dituzten sare-eremuetan lan egiten dutelako. Hirugarrenak gailu horri emandako kredentziala behar du, isilpean berrerabili ezin dena.

Idatzi hiru erantzunak bereizita. Suebakiko lerro bakar batek hiru aipatzen dituen baldintza ezin du bete.

Zer esan diezazuken iturburu-helbideak

Helbide-itzulpena da sare-jatorriko arauak gehiegi onartzeko arrazoi ohikoa. Bulego-irteera baten atzeko guztia helbide publiko berdin gisa agertzen da, beraz arauak talde osoari ematen dio baimena. VPN barruko helbide finkoak ahulezia bera du beste leku batean: sesioari lotutako esleipena da, ez hardwarearen propietatea. Onartutako kredentziala duen edozein gailuk sesio hori ireki dezake. Trata ezazu helbidea sare-murrizketa gisa eta deskriba ezazu horrela.

Hori oraindik erabilgarria da esposizioa mugatzeko, eta ez da gailuaren autentifikazioa.

Lotu sarbidea erregistratutako kredentzial batera

Baldintza gailu-murrizketa bada, erabili VPNak onartzen duen gailu bakoitzeko erregistroa eta eman ordenagailu bakoitzari identitate desberdina.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Biltegiko zerrendak ziurtagiria eta gako pribaturik badagoen erakusten du, eta egiaztapenak katea aurreikusitako aingurara iristen den erakusten du. Ziurtagiriak konfiguratutako politikaren arabera onartutako gako pribatuaren jabetza frogatzen du; ez du frogatzen zein makina fisikok zeukan, gako hori esportatu eta kopiatu baitaiteke. Profila eramangailuaren izenarekin deitzeak sekretua lehen bezain eramangarri uzten du. Plataformak onartzen duen lekuan, hardwareak babestutako gakoek atestazio-politika batekin lotura sendoagoa ematen dute, eta erregistroak oraindik erabaki behar du nori eman behar zaion kredentziala.

Probatu muga, gero planifikatu kentzea

Ebaluatu bi kasu: onartutako eramangailuak eta erabiltzaileak konektatu behar dute, eta erabiltzailearen kontua soilik duen beste gailu batek ez. Diseinuak erabiltzaile- eta gailu-egiaztapenak eskatzen baditu, egiaztatu aukeratutako metodoak biak saio berean betearazten dituela, bi ezarpen independente konbinatzen direla suposatu beharrean.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Errebokazioak onartutako gailu-identitatea kendu behar du, eta saio aktiboen kudeaketak bere proba propioa merezi du. TPM bat edo kudeatutako gailuaren marka ez da osasun-ziurtagiri garbia makinako prozesu guztientzat.

Erregistratu sare-murrizketa, gailuaren kredentziala eta erregistratzeko erabakia hiru kontrol gisa hiru jaberekin. Horrek muga berrikusgarri egiten du, eta hori da helbide batek inoiz eman ezin duena.