IP-heimilistasviður á móti samþykktri fartölvu: tvær ólíkar stýringar

Beiðnir um reglu þar sem aðeins samþykkta fartölvan má tengjast enda oft sem eldveggsfærsla fyrir opinbert vistfang skrifstofunnar. Sú regla hleypir nú öllum tækjum á bak við vistfangið. Krafan og útfærslan eru ekki sama hlutina. Aðskiljið það sem stefnan vill frá því sem vistfangið getur sannað.

Þrjár spurningar í einni stefnubeiðni

Skiptið beiðninni í þrennt: hvaðan tengingin kemur, hvaða þjónustu hún má ná og hvaða tölva leggur fram skírteinið. Regla um upprunavistfang svarar því fyrsta og regla um áfangastaðaþjónustu því annars. Hvorug greinir raunverulega vélina, því báðar vinna á netreitum sem mörg tæki deila. Þriðja þarf skírteini sem útgefið er fyrir það tæki og ekki er hægt að endurnýta í kyrrþey.

Skrifið þrjú svörin hvert fyrir sig. Ein eldveggslína getur ekki uppfyllt kröfu sem nefnir þrjú.

Hvað upprunavistfangið getur sagt þér

Vistfangatúlkun er venjulega ástæðan fyrir því að netupprunaregla hleypir of mörgu. Allt á bak við einn skrifstofuútgang birtist sem sama opinbera vistfangið, svo reglan veitir öllum hópnum aðgang. Fast vistfang innan VPN hefur sömu veikleika annars staðar: það er úthlutun sem er bundin lotu, ekki eiginleiki vélbúnaðar. Hvaða tæki sem heldur samþykktu skírteini getur opnað þá lotu. Meðhöndlið vistfangið sem nettakmörkun og lýsið því þannig.

Það er enn gagnlegt til að takmarka váhrif, og það er ekki auðkenning tækis.

Tengið aðgang við skráð skírteini

Ef krafan er takmörkun tækis, notið skráningu fyrir hvert tæki sem VPN styður og gefið hverri tölvu sérstaka auðkenni.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Geymslulistinn sýnir skírteinið og hvort einkalykill er til staðar, og sannprófunin sýnir hvort keðjan leiðir til fyrirhugaða akkerisins. Skírteini sannar að einkalykillinn sem samþykktur var sé í eigu í samræmi við skilgreindu stefnuna; það sannar ekki hvaða raunverulega vélin hélt honum þegar hægt er að flytja lykilinn út og afrita. Að nefna sniðmátið eftir fartölvunni lætur leyndarmálið vera jafn færanlegt og áður. Þar sem kerfið styður það gefa vélbúnaðarvarnir með staðfestingarstefnu sterkari tengingu, og skráning verður samt að ákveða hver má fá skírteinið.

Prófið mörkin og skipuleggið svo fjarlæginguna

Metið tvö tilvik: samþykkta fartölvan og notandinn eiga að tengjast, og annað tæki sem hefur aðeins reikning notandans á ekki að gera það. Ef hönnunin krefst bæði notanda- og tækjaprófunar, sannreynið að valin aðferð framfylgi báðum í sömu lotu í stað þess að gera ráð fyrir að tvær óháðar stillingar sameinist.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Afturköllun verður að fjarlægja samþykkt auðkenni tækis, og meðferð virkra lota á skilið eigið próf. TPM eða merki um stýrt tæki er ekki hreint heilsuvottorð fyrir hvert ferli á vélinni.

Skráið nettakmörkunina, skírteini tækisins og ákvörðunina um skráningu sem þrjár stýringar með þremur eigendum. Það gerir mörkin yfirfaranleg, og það er það sem vistfang eitt og sér getur aldrei veitt.