רשימת IP מורשית מול מחשב נייד מאושר: שני בקרות שונים

בקשות לכלל שמאפשר התחברות רק מהמחשב הנייד המאושר מסתיימות לעיתים קרובות כרשומת חומת אש עבור הכתובת הציבורית של המשרד. כלל זה מתיר כעת כל מכשיר שמאחורי הכתובת. הדרישה והמימוש אינם אותו דבר. הפרידו בין מה שהמדיניות רוצה לבין מה שהכתובת יכולה להוכיח.

שלוש שאלות בבקשת מדיניות אחת

חלקו את הבקשה לשלושה חלקים: מאין מגיעה ההתחברות, לאיזה שירות היא רשאית להגיע, ואיזה מחשב מציג את האישור. כלל של כתובת מקור עונה על הראשון, וכלל של שירות יעד עונה על השני. אף אחד מהם אינו מזהה את המכונה הפיזית, משום ששניהם פועלים על שדות רשת שמכשירים רבים חולקים. השלישי זקוק לאישור שהונפק לאותו מכשיר ושאינו ניתן לשימוש חוזר בשקט.

כתבו את שלוש התשובות בנפרד. שורה אחת בחומת אש אינה יכולה לעמוד בדרישה שמזכירה שלושה.

מה כתובת המקור יכולה לספר לכם

תרגום כתובות הוא הסיבה הרגילה לכך שכלל מקור רשת מתיר יותר מדי. כל מה שמאחורי יציאה אחת של משרד נראה כאותה כתובת ציבורית, ולכן הכלל מעניק הרשאה לכל הקבוצה. לכתובת קבועה בתוך ה-VPN יש אותה חולשה במקום אחר: היא הקצאה הקשורה לפעילות ולא תכונה של חומרה. כל מכשיר שמחזיק אישור מקובל יכול לפתוח את אותה פעילות. התייחסו לכתובת כמגבלת רשת ותארו אותה כך.

זה עדיין שימושי להגבלת החשיפה, וזה אינו אימות מכשיר.

קשרו גישה לאישור רשום

אם הדרישה היא הגבלת מכשיר, השתמשו ברישום לפי מכשיר שה-VPN תומך בו ותנו לכל מחשב זהות נפרדת.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

רישום המאגר מציג את האישור ואם קיים מפתח פרטי, והאימות מראה אם השרשרת מובילה לעוגן המיועד. אישור מוכיח החזקה במפתח הפרטי המקובל לפי המדיניות המוגדרת; הוא אינו מוכיח איזו מכונה פיזית החזיקה בו כאשר ניתן לייצא ולהעתיק את המפתח. קריאת הפרופיל על שם המחשב הנייד משאירה את הסוד נייד בדיוק כמו קודם. במקום שהפלטפורמה תומכת בכך, מפתחות מוגנים בחומרה עם מדיניות אימות מעניקים קישור חזק יותר, והרישום עדיין צריך להחליט מי רשאי לקבל את האישור.

בדקו את הגבול, ואז תכננו את ההסרה

העריכו שני מקרים: המחשב הנייד המאושר והמשתמש צריכים להתחבר, ומכשיר אחר שמחזיק רק בחשבון המשתמש לא צריך. אם העיצוב דורש בדיקת משתמש ובדיקת מכשיר, ודאו שהשיטה שנבחרה אוכפת את שתיהן באותה פעילות במקום להניח ששני הגדרות בלתי תלויים משתלבים.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

הביטול חייב להסיר את זהות המכשיר המקובלת, וטיפול בפעילויות פעילות ראוי לבדיקה משלו. TPM או דגל של מכשיר מנוהל אינם תעודת בריאות נקייה לכל תהליך במכונה.

תעדו את מגבלת הרשת, את אישור המכשיר ואת החלטת הרישום כשלושה בקרות עם שלושה בעלים. זה הופך את הגבול לניתן לבדיקה, וזה מה שכתובת לבדה לעולם אינה יכולה לספק.