IP મંજૂરી-યાદી વિરુદ્ધ મંજૂર લેપટોપ: બે જુદા નિયંત્રણો

ફક્ત મંજૂર લેપટોપ જ જોડાઈ શકે એવા નિયમની વિનંતીઓ ઘણી વાર ઓફિસના જાહેર સરનામા માટે ફાયરવોલ એન્ટ્રી તરીકે પૂરી થાય છે. એ નિયમ હવે સરનામા પાછળના દરેક ઉપકરણને પ્રવેશ આપે છે. જરૂરિયાત અને અમલીકરણ એક જ વસ્તુ નથી. નીતિ શું ચાહે છે અને સરનામું શું સાબિત કરી શકે છે તે અલગ કરો.

એક નીતિ વિનંતીમાં ત્રણ પ્રશ્નો

વિનંતીને ત્રણ ભાગમાં વિભાજિત કરો: જોડાણ ક્યાંથી આવે છે, કઈ સેવા સુધી પહોંચી શકે છે, અને કયો કમ્પ્યુટર ઓળખપત્ર રજૂ કરે છે. સ્રોત-સરનામાનો નિયમ પ્રથમનો જવાબ આપે છે, અને લક્ષ્ય-સેવાનો નિયમ દ્વિતીયનો. બંમાંથી કોઈ ભૌતિક મશીન ઓળખતું નથી, કારણ કે બંને એવા નેટવર્ક ક્ષેત્રો પર કામ કરે છે જે ઘણાં ઉપકરણો વહેંચે છે. ત્રીજાને એ ઉપકરણને આપેલું અને ચૂપચાપ ફરી વાપરી ન શકાય એવું ઓળખપત્ર જોઈએ.

ત્રણ જવાબો અલગ લખો. એક ફાયરવોલ લીટી ત્રણ નામ લેતી જરૂરિયાત પૂરી કરી શકતી નથી.

સ્રોત સરનામું તમને શું કહી શકે

સરનામા-અનુવાદ એ સામાન્ય કારણ છે કે નેટવર્ક-સ્રોત નિયમ વધુ પડતું મંજૂર કરે છે. એક ઓફિસ ઇગ્રેસ પાછળનું બધું એક જ જાહેર સરનામા તરીકે દેખાય છે, તેથી નિયમ આખા જૂથને પરવાનગી આપે છે. VPN ની અંદરનું સ્થિર સરનામું બીજી જગ્યાએ એ જ નબળાઈ ધરાવે છે: તે સત્ર સાથે જોડાયેલી ફાળવણી છે, હાર્ડવેરની લાક્ષણિકતા નથી. સ્વીકૃત ઓળખપત્ર ધરાવતું કોઈપણ ઉપકરણ એ સત્ર ખોલી શકે છે. સરનામાને નેટવર્ક મર્યાદા તરીકે ગણો અને એ જ રીતે વર્ણવો.

એ હજી પણ જોખમ મર્યાદિત કરવા માટે ઉપયોગી છે, અને એ ઉપકરણ પ્રમાણીકરણ નથી.

પ્રવેશને નોંધાયેલા ઓળખપત્ર સાથે બાંધો

જો જરૂરિયાત ઉપકરણ મર્યાદા હોય, તો VPN નું સમર્થિત પ્રતિ-ઉપકરણ નોંધણી વાપરો અને દરેક કમ્પ્યુટરને અલગ ઓળખ આપો.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

સ્ટોર યાદી પ્રમાણપત્ર અને ખાનગી કી હાજર છે કે નહીં તે બતાવે છે, અને ચકાસણી બતાવે છે કે સાંકળ ઇચ્છિત એન્કર સુધી પહોંચે છે કે નહીં. પ્રમાણપત્ર ગોઠવાયેલી નીતિ હેઠળ સ્વીકૃત ખાનગી કીની ધારણા સાબિત કરે છે; તે એ સાબિત કરતું નથી કે કયું ભૌતિક મશીન તે ધરાવતું હતું જ્યારે એ કી નિકાસ અને નકલ કરી શકાય છે. પ્રોફાઇલનું નામ લેપટોપ પરથી રાખવાથી રહસ્ય પહેલાં જેટલું જ વહનયોગ્ય રહે છે. જ્યાં પ્લેટફોર્મ ટેકો આપે છે, એટેસ્ટેશન નીતિ સાથેના હાર્ડવેર-સુરક્ષિત કી વધુ મજબૂત બંધન આપે છે, અને નોંધણીએ હજી નક્કી કરવું પડે છે કે ઓળખપત્ર કોણ મેળવી શકે.

સીમા ચકાસો, પછી દૂર કરવાની યોજના કરો

બે કિસ્સાઓનું મૂલ્યાંકન કરો: મંજૂર લેપટોપ અને વપરાશકર્તા જોડાઈ શકે, અને ફક્ત વપરાશકર્તાનું ખાતું ધરાવતું બીજું ઉપકરણ ન જોડાય. જો ડિઝાઇનમાં વપરાશકર્તા અને ઉપકરણ બંનેની ચકાસણી જરૂરી હોય, તો ખાતરી કરો કે પસંદ કરેલી પદ્ધતિ બંનેને એક જ સત્રમાં લાગુ કરે, બે સ્વતંત્ર સેટિંગ ભળી જાય એવું માની લેવાને બદલે.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

રદ કરવાથી સ્વીકૃત ઉપકરણ ઓળખ દૂર થવી જોઈએ, અને સક્રિય સત્રોની સંભાળને પોતાની કસોટી જોઈએ. TPM અથવા સંચાલિત-ઉપકરણ ધ્વજ મશીન પરની દરેક પ્રક્રિયા માટે ચોખ્ખું આરોગ્ય પ્રમાણપત્ર નથી.

નેટવર્ક મર્યાદા, ઉપકરણ ઓળખપત્ર અને નોંધણીનો નિર્ણય ત્રણ માલિકો સાથે ત્રણ નિયંત્રણો તરીકે નોંધો. એ સીમાને સમીક્ષાયોગ્ય બનાવે છે, અને ફક્ત એક સરનામું ક્યારેય આપી શકે નહીં તેવી વસ્તુ એ જ છે.