Popis dopuštenih IP adresa nasuprot odobrenom prijenosniku: dvije različite kontrole

Zahtjevi za pravilom da se smije povezati samo odobreni prijenosnik često završe kao unos u vatrozidu za javnu adresu ureda. To pravilo sada propušta svaki uređaj iza te adrese. Zahtjev i provedba nisu ista stvar. Odvojite što politika želi od onoga što adresa može dokazati.

Tri pitanja u jednom zahtjevu politike

Podijelite zahtjev na tri dijela: odakle veza dolazi, koju uslugu može dosegnuti i koje računalo predstavlja vjerodajnicu. Pravilo izvorne adrese odgovara na prvo, a pravilo odredišne usluge na drugo. Nijedno ne identificira fizičko računalo, jer oba rade na mrežnim poljima koja dijele mnogi uređaji. Treće traži vjerodajnicu izdanu tom uređaju i koju se ne može tiho ponovno upotrijebiti.

Zapišite tri odgovora odvojeno. Jedan redak u vatrozidu ne može zadovoljiti zahtjev koji imenuje tri.

Što vam izvorna adresa može reći

Prevođenje adresa uobičajen je razlog zašto pravilo mrežnog podrijetla propušta previše. Sve iza jednog izlaza ureda pojavljuje se kao ista javna adresa, pa pravilo odobrava cijelu skupinu. Fiksna adresa unutar VPN-a ima istu slabost na drugom mjestu: to je dodjela vezana uz sesiju, a ne svojstvo hardvera. Svaki uređaj s prihvaćenom vjerodajnicom može otvoriti tu sesiju. Tretirajte adresu kao mrežno ograničenje i tako je opišite.

To je i dalje korisno za ograničavanje izloženosti i nije provjera identiteta uređaja.

Vežite pristup uz upisanu vjerodajnicu

Ako je zahtjev ograničenje uređaja, upotrijebite VPN-ov podržani upis po uređaju i dajte svakom računalu poseban identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Popis u spremištu pokazuje certifikat i postoji li privatni ključ, a provjera pokazuje vodi li lanac do predviđenog sidra. Certifikat dokazuje posjedovanje prihvaćenog privatnog ključa prema konfiguriranoj politici; ne dokazuje koje ga je fizičko računalo imalo kada se taj ključ može izvesti i kopirati. Imenovanje profila po prijenosniku ostavlja tajnu jednako prenosivom kao prije. Gdje platforma to podržava, hardverski zaštićeni ključevi s politikom atestacije daju jače vezivanje, a upis i dalje mora odlučiti kome se smije izdati vjerodajnica.

Ispitajte granicu, zatim planirajte uklanjanje

Procijenite dva slučaja: odobreni prijenosnik i korisnik trebaju se povezati, a drugi uređaj koji ima samo korisnički račun ne treba. Ako dizajn traži i provjeru korisnika i provjeru uređaja, provjerite da odabrana metoda oboje provodi u istoj sesiji umjesto da pretpostavlja da se dvije neovisne postavke kombiniraju.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Opoziv mora ukloniti prihvaćeni identitet uređaja, a rukovanje aktivnim sesijama zaslužuje vlastiti test. TPM ili oznaka upravljanog uređaja nije čista zdravstvena potvrda za svaki proces na računalu.

Zabilježite mrežno ograničenje, vjerodajnicu uređaja i odluku o upisu kao tri kontrole s tri vlasnika. To granicu čini provjerljivom i to je ono što sama adresa nikada ne može pružiti.