IP-sallittujen luettelo vai hyväksytty kannettava: kaksi eri valvontaa

Pyynnöt säännöstä, jonka mukaan vain hyväksytty kannettava saa yhdistää, päättyvät usein toimiston julkisen osoitteen palomuurimerkinnäksi. Sääntö päästää nyt läpi jokaisen osoitteen takana olevan laitteen. Vaatimus ja toteutus eivät ole sama asia. Erota, mitä käytäntö haluaa, siitä, mitä osoite voi todistaa.

Kolme kysymystä yhdessä käytäntöpyynnössä

Jaa pyyntö kolmeen osaan: mistä yhteys tulee, mihin palveluun se voi päästä ja mikä tietokone esittää valtuutuksen. Lähdeosoitesääntö vastaa ensimmäiseen ja kohdepalvelusääntö toiseen. Kumpikaan ei tunnista fyysistä konetta, koska molemmat toimivat verkkokentillä, joita monet laitteet jakavat. Kolmas tarvitsee laitteelle myönnetyn valtuutuksen, jota ei voi hiljaisesti käyttää uudelleen.

Kirjoita kolme vastausta erikseen. Yksi palomuuririvi ei voi täyttää vaatimusta, joka nimeää kolme.

Mitä lähdeosoite voi kertoa sinulle

Osoitteenmuunnos on tavallinen syy siihen, että verkkolähtösääntö päästää liikaa läpi. Kaikki yhden toimistolähdön takana näkyy samana julkisena osoitteena, joten sääntö myöntää koko ryhmälle. VPN:n sisällä olevalla kiinteällä osoitteella on sama heikkous toisaalla: se on istuntoon sidottu määritys, ei laitteiston ominaisuus. Mikä tahansa laite, jolla on hyväksytty valtuutus, voi avata sen istunnon. Kohtele osoitetta verkkorajoituksena ja kuvaile sitä niin.

Se on edelleen hyödyllinen altistumisen rajaamiseen, eikä se ole laitteen todennus.

Sido pääsy rekisteröityyn valtuutukseen

Jos vaatimus on laiterajoitus, käytä VPN:n tukemaa laitekohtaista rekisteröintiä ja anna jokaiselle tietokoneelle erillinen identiteetti.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Tallennuksen luettelo näyttää varmenteen ja sen, onko yksityinen avain läsnä, ja tarkistus näyttää, johtaako ketju aiottuun ankkuriin. Varmenne todistaa määritetyn käytännön mukaisen hyväksytyn yksityisen avaimen hallussapidon; se ei todista, millä fyysisellä koneella se oli, kun avain voidaan viedä ja kopioida. Profiilin nimeäminen kannettavan mukaan jättää salaisuuden yhtä siirrettäväksi kuin ennen. Kun alusta tukee sitä, laitteistolla suojatut avaimet ja attestointikäytäntö antavat vahvemman sidonnan, ja rekisteröinnin on silti päätettävä, kuka saa valtuutuksen.

Testaa raja ja suunnittele sitten poisto

Arvioi kaksi tapausta: hyväksytyn kannettavan ja käyttäjän pitää yhdistää, eikä toisen laitteen, jolla on vain käyttäjän tili, pidä. Jos suunnittelu vaatii sekä käyttäjä- että laitetarkistuksen, varmista, että valittu menetelmä toteuttaa molemmat samassa istunnossa sen sijaan, että olettaa kahden riippumattoman asetuksen yhdistyvän.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Mitätöinnin on poistettava hyväksytty laiteidentiteetti, ja aktiivisten istuntojen käsittely ansaitsee oman testinsä. TPM tai hallitun laitteen merkintä ei ole puhdas terveystodistus koneen jokaiselle prosessille.

Kirjaa verkkorajoitus, laitteen valtuutus ja rekisteröintipäätös kolmena valvontana kolmella omistajalla. Se tekee rajasta tarkistettavan, ja juuri sitä pelkkä osoite ei voi koskaan tarjota.