IP-tastieningslist tsjin goedkarde laptop: twa ferskillende kontrôles

Oanfragen foar in regel dat allinnich de goedkarde laptop ferbine mei, einigje faak as in firewall-ynstjoer foar it iepenbiere adres fan it kantoar. Dy regel lit no elk apparaat efter it adres ta. De eask en de útfiering binne net itselde. Skiedje wat it belied wol fan wat it adres bewize kin.

Trije fragen yn ien beliedsoanfraach

Diel de oanfraach yn trije dielen: wêr't de ferbining wei komt, hokker tsjinst it berikke mei, en hokker kompjûter it bewiis presintearret. In boarne-adresregel beantwurdet it earste, en in bestimmingstsjinstregel it twadde. Gjin fan beide identifisearret de fysike masine, om't beide op netwurfjilden wurkje dy't in protte apparaten diele. It tredde hat in bewiis nedich dat oan dat apparaat útjûn is en net stil wer brûkber is.

Skriuw de trije antwurden apart op. Ien firewallrige kin net foldwaan oan in eask dy't trije neamt.

Wat it boarne-adres dy fertelle kin

Adresoersetting is de gewoane reden dat in netwurkoarsprongregel tefolle talit. Alles efter ien kantoarútgong ferskynt as itselde iepenbiere adres, dus de regel jout de hiele groep tagong. In fêst adres binnen de VPN hat deselde swakte earne oars: it is in tawizing dy't oan in sesje ferbûn is, net in eigenskip fan hardware. Elk apparaat mei in akseptearre bewiis kin dy sesje iepenje. Behannelje it adres as in netwurkbeheining en beskriuw it sa.

Dat is noch nuttich om bleatstelling te beheinen, en it is gjin apparaat-autentikaasje.

Byn tagong oan in ynskreaun bewiis

As de eask apparaatbeheining is, brûk de troch VPN stipe ynskriuwing per apparaat en jou elk kompjûter in aparte identiteit.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

De opslachlist toant it sertifikaat en oft der in priveesleutel is, en de ferifikaasje toant oft de keatling nei it bedoelde anker liedt. In sertifikaat bewiist besit fan de akseptearre priveesleutel ûnder it konfigurearre belied; it bewiist net hokker fysike masine dy hie doe't dy sleutel eksportearre en kopiearre wurde kin. It profyl nei de laptop neame lit it geheim like ferpleatsber as earder. Wêr't it platfoarm it stipet, jouwe hardware-beskerme sleutels mei in attestearringsbelied in sterker byn, en ynskriuwing moat noch beslute wa't it bewiis krije mei.

Test de grins, planje dan it fuortheljen

Evaluearje twa gefallen: de goedkarde laptop en brûker moatte ferbine, en in oar apparaat mei allinnich it akkount fan 'e brûker moat net. As it ûntwerp sawol in brûker- as in apparaatkontrôle easket, ferifiearje dan dat de keazen metoade beide yn deselde sesje hanthavent ynstee fan oan te nimmen dat twa ûnôfhinklike ynstellingen kombinearje.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Yntrekken moat de akseptearre apparaatidentiteit fuorthelje, en it omgean mei aktive sesjes fertsjinnet syn eigen test. In TPM of in flag foar beheard apparaat is gjin skjin sûnensbewiis foar elk proses op 'e masine.

Registrearje de netwurkbeheining, it bewiis fan it apparaat en de ynskriuwingsbeslissing as trije kontrôles mei trije eigners. Dat makket de grins kontrolearber, en dat is wat in adres allinnich nea biede kin.