Lista de IP permitidas ou portátil aprobado: dous controis distintos

As solicitudes dunha regra que só permita conectarse ao portátil aprobado adoitan acabar como unha entrada de devasas para o enderezo público da oficina. Esa regra agora admite todos os dispositivos detrás do enderezo. O requisito e a implementación non son o mesmo. Separe o que quere a política do que o enderezo pode demostrar.

Tres preguntas nunha soa solicitude de política

Divida a solicitude en tres partes: de onde vén a conexión, a que servizo pode chegar e que ordenador presenta a credencial. Unha regra de enderezo de orixe responde a primeira, e unha regra de servizo de destino á segunda. Ningunha identifica a máquina física, porque ambas operan sobre campos de rede que comparten moitos dispositivos. A terceira necesita unha credencial emitida para ese dispositivo e que non se poida reutilizar en silencio.

Escriba as tres respostas por separado. Unha soa liña de devasas non pode satisfacer un requisito que nomea tres.

Que pode dicirlle o enderezo de orixe

A tradución de enderezos é a razón habitual pola que unha regra de orixe de rede admite demasiado. Todo o que está detrás dunha saída de oficina aparece como o mesmo enderezo público, así que a regra concede acceso a todo o grupo. Un enderezo fixo dentro da VPN ten a mesma debilidade noutro lugar: é unha asignación ligada a unha sesión, non unha propiedade do hardware. Calquera dispositivo cunha credencial aceptada pode abrir esa sesión. Trate o enderezo como unha restrición de rede e descríbao así.

Iso segue sendo útil para limitar a exposición, e non é autenticación de dispositivo.

Vincule o acceso a unha credencial dada de alta

Se o requisito é a restrición de dispositivo, use a alta por dispositivo compatible coa VPN e dea a cada ordenador unha identidade distinta.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

A listaxe do almacén mostra o certificado e se hai unha clave privada, e a verificación mostra se a cadea leva á áncora prevista. Un certificado demostra a posesión da clave privada aceptada segundo a política configurada; non demostra que máquina física a tiña cando esa clave se pode exportar e copiar. Poñer ao perfil o nome do portátil deixa o segredo exactamente igual de portátil ca antes. Onde a plataforma o admite, as claves protexidas por hardware cunha política de atestación dan un vínculo máis forte, e a alta aínda debe decidir quen pode recibir a credencial.

Probe o límite e logo planifique a retirada

Avalíe dous casos: o portátil aprobado e o usuario deben conectarse, e outro dispositivo que só teña a conta do usuario non debe facelo. Se o deseño esixe unha comprobación de usuario e outra de dispositivo, verifique que o método elixido aplica ambas na mesma sesión en lugar de supor que dous axustes independentes se combinan.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

A revogación debe retirar a identidade aceptada do dispositivo, e o tratamento das sesións activas merece a súa propia proba. Un TPM ou un indicador de dispositivo xestionado non é un certificado limpo de saúde para cada proceso da máquina.

Rexistre a restrición de rede, a credencial do dispositivo e a decisión de alta como tres controis con tres responsables. Iso fai revisable o límite, e é o que un enderezo por si só nunca pode proporcionar.