IP-engedélylista vagy jóváhagyott laptop: két különböző ellenőrzés

A csak a jóváhagyott laptop csatlakozását engedélyező szabályra irányuló kérések gyakran az iroda nyilvános címéhez tartozó tűzfalbejegyzésként végződnek. Ez a szabály most a cím mögötti minden eszközt beenged. A követelmény és a megvalósítás nem ugyanaz. Válassza szét, mit akar a szabályzat, és mit tud bizonyítani a cím.

Három kérdés egy szabályzatkérésben

Ossza három részre a kérést: honnan jön a kapcsolat, melyik szolgáltatást érheti el, és melyik számítógép mutatja be a hitelesítő adatot. A forráscím-szabály az elsőre válaszol, a célszolgáltatás-szabály a másodikra. Egyik sem azonosítja a fizikai gépet, mert mindkettő olyan hálózati mezőkön működik, amelyeket sok eszköz oszt meg. A harmadikhoz az adott eszköznek kiállított, csendben újra nem használható hitelesítő adat kell.

Írja le a három választ külön. Egyetlen tűzfalsor nem teljesíthet egy hármat megnevező követelményt.

Mit mondhat a forráscím

A címfordítás a szokásos oka annak, hogy egy hálózati eredetszabály túl sokat enged. Egy irodai kimenet mögötti minden ugyanazon nyilvános címként jelenik meg, ezért a szabály az egész csoportnak engedélyt ad. A VPN-en belüli fix cím ugyanezt a gyengeséget hordozza máshol: munkamenethez kötött hozzárendelés, nem hardvertulajdonság. Bármely eszköz, amely elfogadott hitelesítő adattal rendelkezik, megnyithatja azt a munkamenetet. Kezelje a címet hálózati korlátozásként, és írja le így.

Ez továbbra is hasznos a kitettség korlátozására, és nem eszközhitelesítés.

Kösse a hozzáférést regisztrált hitelesítő adathoz

Ha a követelmény eszközkorlátozás, használja a VPN által támogatott eszközönkénti regisztrációt, és adjon minden számítógépnek külön identitást.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

A tároló listája megmutatja a tanúsítványt és azt, hogy van-e privát kulcs, az ellenőrzés pedig azt, hogy a lánc a szánt horgonyhoz vezet-e. A tanúsítvány bizonyítja az elfogadott privát kulcs birtoklását a beállított szabályzat szerint; nem bizonyítja, melyik fizikai gép birtokolta, amikor a kulcs exportálható és másolható. A profil laptopról elnevezése ugyanolyan hordozhatóvá hagyja a titkot, mint korábban. Ahol a platform támogatja, a hardverrel védett kulcsok attestációs szabályzattal erősebb kötést adnak, és a regisztrációnak még mindig el kell döntenie, ki kaphatja meg a hitelesítő adatot.

Tesztelje a határt, majd tervezze meg az eltávolítást

Értékeljen két esetet: a jóváhagyott laptopnak és a felhasználónak csatlakoznia kell, egy másik eszköznek, amely csak a felhasználó fiókjával rendelkezik, nem. Ha a terv felhasználó- és eszközellenőrzést is megkövetel, ellenőrizze, hogy a választott módszer mindkettőt ugyanabban a munkamenetben érvényesíti, ahelyett hogy feltételezné, hogy két független beállítás összeadódik.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

A visszavonásnak el kell távolítania az elfogadott eszközidentitást, az aktív munkamenetek kezelése pedig saját tesztet érdemel. A TPM vagy a felügyelt eszköz jelzője nem tiszta egészségügyi bizonyítvány a gépen futó minden folyamathoz.

Rögzítse a hálózati korlátozást, az eszköz hitelesítő adatát és a regisztrációs döntést három ellenőrzésként, három tulajdonossal. Ez teszi áttekinthetővé a határt, és ezt egy cím önmagában soha nem tudja nyújtani.