Daftar IP yang diizinkan versus laptop yang disetujui: dua kontrol berbeda

Permintaan aturan yang hanya mengizinkan laptop yang disetujui untuk terhubung sering berakhir sebagai entri firewall untuk alamat publik kantor. Aturan itu kini meloloskan setiap perangkat di balik alamat tersebut. Kebutuhan dan implementasi bukan hal yang sama. Pisahkan apa yang diinginkan kebijakan dari apa yang dapat dibuktikan alamat.

Tiga pertanyaan dalam satu permintaan kebijakan

Bagi permintaan menjadi tiga bagian: dari mana koneksi berasal, layanan mana yang boleh dicapai, dan komputer mana yang menyajikan kredensial. Aturan alamat sumber menjawab yang pertama, dan aturan layanan tujuan menjawab yang kedua. Keduanya tidak mengidentifikasi mesin fisik, karena keduanya bekerja pada bidang jaringan yang dipakai bersama banyak perangkat. Yang ketiga memerlukan kredensial yang diterbitkan untuk perangkat itu dan tidak dapat dipakai ulang secara diam-diam.

Tulis ketiga jawaban secara terpisah. Satu baris firewall tidak dapat memenuhi kebutuhan yang menyebut tiga hal.

Apa yang dapat diberitahukan alamat sumber

Penerjemahan alamat adalah alasan biasa sebuah aturan asal jaringan meloloskan terlalu banyak. Semua yang berada di balik satu jalan keluar kantor tampak sebagai alamat publik yang sama, sehingga aturan itu memberi akses ke seluruh kelompok. Alamat tetap di dalam VPN memiliki kelemahan yang sama di tempat lain: itu penetapan yang terikat sesi, bukan sifat perangkat keras. Perangkat mana pun yang memegang kredensial yang diterima dapat membuka sesi itu. Perlakukan alamat sebagai pembatasan jaringan dan jelaskan demikian.

Itu masih berguna untuk membatasi paparan, dan itu bukan autentikasi perangkat.

Ikat akses ke kredensial yang terdaftar

Jika kebutuhannya pembatasan perangkat, gunakan pendaftaran per perangkat yang didukung VPN dan beri setiap komputer identitas yang berbeda.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Daftar penyimpanan menampilkan sertifikat dan ada tidaknya kunci privat, dan verifikasi menunjukkan apakah rantai menuju jangkar yang dimaksud. Sertifikat membuktikan kepemilikan kunci privat yang diterima menurut kebijakan yang dikonfigurasi; itu tidak membuktikan mesin fisik mana yang memegangnya ketika kunci tersebut dapat diekspor dan disalin. Menamai profil menurut laptop membuat rahasia itu tetap mudah dipindahkan seperti sebelumnya. Di tempat platform mendukungnya, kunci yang dilindungi perangkat keras dengan kebijakan atestasi memberi ikatan yang lebih kuat, dan pendaftaran tetap harus memutuskan siapa yang boleh menerima kredensial.

Uji batasnya, lalu rencanakan penghapusan

Nilai dua kasus: laptop yang disetujui dan pengguna harus dapat terhubung, dan perangkat lain yang hanya memegang akun pengguna tidak boleh. Jika desain memerlukan pemeriksaan pengguna dan perangkat, pastikan metode yang dipilih menegakkan keduanya dalam sesi yang sama alih-alih mengasumsikan dua pengaturan independen bergabung.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Pencabutan harus menghapus identitas perangkat yang diterima, dan penanganan sesi aktif layak mendapat uji tersendiri. TPM atau penanda perangkat terkelola bukan surat keterangan sehat bagi setiap proses di mesin.

Catat pembatasan jaringan, kredensial perangkat, dan keputusan pendaftaran sebagai tiga kontrol dengan tiga pemilik. Itu membuat batas dapat ditinjau, dan itulah yang tidak pernah dapat diberikan alamat sendirian.