فهرست مجاز IP در برابر لپ‌تاپ تأییدشده: دو کنترل متفاوت
محدود کردن اینکه ورود از کجا می‌آید، محدود نمی‌کند که کدام رایانه می‌تواند از آن استفاده کند. مبدأ، اعتبارنامه دستگاه و تصمیم ثبت‌نام را جدا کنید.
درخواست‌های قاعده‌ای که فقط لپ‌تاپ تأییدشده اجازه اتصال داشته باشد، غالباً به یک ورودی دیوار آتش برای نشانی عمومی دفتر ختم می‌شود. آن قاعده اکنون هر دستگاهی را پشت نشانی می‌پذیرد. الزام و پیاده‌سازی یک چیز نیستند. آنچه سیاست می‌خواهد را از آنچه نشانی می‌تواند اثبات کند جدا کنید.
سه پرسش در یک درخواست سیاست
درخواست را به سه بخش تقسیم کنید: اتصال از کجا می‌آید، به کدام سرویس می‌تواند برسد، و کدام رایانه اعتبارنامه را ارائه می‌دهد. قاعده نشانی مبدأ به اولی پاسخ می‌دهد و قاعده سرویس مقصد به دومی. هیچ‌یک ماشین فیزیکی را شناسایی نمی‌کند، زیرا هر دو روی فیلدهای شبکه‌ای کار می‌کنند که بسیاری از دستگاه‌ها آن را شریک‌اند. سومی به اعتبارنامه‌ای نیاز دارد که به همان دستگاه صادر شده و بی‌صدا قابل استفاده مجدد نباشد.
سه پاسخ را جداگانه بنویسید. یک خط دیوار آتش نمی‌تواند الزامی را که سه چیز را نام می‌برد برآورده کند.
نشانی مبدأ چه چیزی می‌تواند به شما بگوید
ترجمه نشانی دلیل معمول پذیرش بیش از حد توسط قاعده مبدأ شبکه است. هر چیزی پشت یک خروجی دفتر به‌صورت همان نشانی عمومی ظاهر می‌شود، بنابراین قاعده به کل گروه اجازه می‌دهد. نشانی ثابت داخل VPN همین ضعف را جای دیگری دارد: تخصیصی است وابسته به نشست، نه ویژگی سخت‌افزار. هر دستگاهی که اعتبارنامه پذیرفته‌شده داشته باشد می‌تواند آن نشست را باز کند. با نشانی به‌عنوان محدودیت شبکه رفتار کنید و آن را همین‌گونه توصیف کنید.
این هنوز برای محدود کردن مواجهه مفید است و احراز هویت دستگاه نیست.
دسترسی را به اعتبارنامه ثبت‌شده گره بزنید
اگر الزام محدودیت دستگاه است، از ثبت‌نام به‌ازای هر دستگاه که VPN پشتیبانی می‌کند استفاده کنید و به هر رایانه هویت متمایز بدهید.
certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pemفهرست مخزن گواهی و وجود کلید خصوصی را نشان می‌دهد، و بررسی نشان می‌دهد که آیا زنجیره به لنگر مورد نظر می‌رسد. گواهی، مالکیت کلید خصوصی پذیرفته‌شده را طبق سیاست پیکربندی‌شده اثبات می‌کند؛ اما اثبات نمی‌کند کدام ماشین فیزیکی آن را داشته، وقتی آن کلید قابل صدور و کپی است. نامیدن نمایه به نام لپ‌تاپ، راز را دقیقاً به همان اندازه قبل قابل حمل می‌گذارد. جایی که پلتفرم پشتیبانی می‌کند، کلیدهای محافظت‌شده با سخت‌افزار همراه سیاست تصدیق، پیوند قوی‌تری می‌دهند، و ثبت‌نام هنوز باید تصمیم بگیرد چه کسی می‌تواند اعتبارنامه را دریافت کند.
مرز را بیازمایید، سپس حذف را برنامه‌ریزی کنید
دو حالت را ارزیابی کنید: لپ‌تاپ تأییدشده و کاربر باید متصل شوند، و دستگاه دیگری که فقط حساب کاربر را دارد نباید. اگر طراحی هم بررسی کاربر و هم بررسی دستگاه را لازم دارد، بررسی کنید که روش انتخابی هر دو را در همان نشست اعمال کند، نه اینکه فرض کند دو تنظیم مستقل با هم ترکیب می‌شوند.
openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.keyلغو باید هویت پذیرفته‌شده دستگاه را حذف کند، و مدیریت نشست‌های فعال آزمایش خودش را می‌طلبد. TPM یا نشانه دستگاه مدیریت‌شده، گواهی سلامت پاک برای هر فرایند روی ماشین نیست.
محدودیت شبکه، اعتبارنامه دستگاه و تصمیم ثبت‌نام را به‌عنوان سه کنترل با سه مالک ثبت کنید. این مرز را قابل بازبینی می‌کند، و همان چیزی است که نشانی به‌تنهایی هرگز نمی‌تواند فراهم کند.