ნებადართული IP-ების სია ან დამტკიცებული ლეპტოპი: ორი განსხვავებული კონტროლი

მოთხოვნები წესზე, რომ მხოლოდ დამტკიცებულ ლეპტოპს შეეძლოს დაკავშირება, ხშირად მთავრდება როგორც ოფისის საჯარო მისამართის firewall-ჩანაწერი. ეს წესი ახლა მისამართის უკან მყოფ ყველა მოწყობილობას უშვებს. მოთხოვნა და განხორციელება ერთი და იგივე არ არის. გამოყავით, რაც პოლიტიკას სურს, იმისგან, რაც მისამართს შეუძლია დაამტკიცოს.

სამი კითხვა ერთ პოლიტიკის მოთხოვნაში

დაყავით მოთხოვნა სამ ნაწილად: საიდან მოდის კავშირი, რომელ სერვისს შეუძლია მიაღწიოს და რომელი კომპიუტერი წარადგენს სერტიფიკატს. წყაროს მისამართის წესი პასუხობს პირველს, ხოლო დანიშნულების სერვისის წესი მეორეს. არც ერთი არ იდენტიფიცირებს ფიზიკურ მანქანას, რადგან ორივე მუშაობს ქსელურ ველებზე, რომლებსაც ბევრი მოწყობილობა იზიარებს. მესამეს სჭირდება ამ მოწყობილობაზე გაცემული სერტიფიკატი, რომლის ჩუმად ხელახლა გამოყენება შეუძლებელია.

ჩაწერეთ სამი პასუხი ცალ-ცალკე. ერთი firewall-ხაზი ვერ დააკმაყოფილებს მოთხოვნას, რომელიც სამს ასახელებს.

რა შეიძლება გითხრას წყაროს მისამართმა

მისამართების ტრანსლაცია ჩვეულებრივი მიზეზია, თუ რატომ უშვებს ქსელური წყაროს წესი ზედმეტს. ყველაფერი ერთი ოფისის გასასვლელის უკან ჩანს როგორც იგივე საჯარო მისამართი, ამიტომ წესი მთელ ჯგუფს აძლევს ნებას. VPN-ის შიგნით ფიქსირებულ მისამართს იგივე სისუსტე აქვს სხვა ადგილას: ეს არის სესიაზე მიბმული მინიჭება და არა ტექნიკის თვისება. ნებისმიერ მოწყობილობას მიღებული სერტიფიკატით შეუძლია ამ სესიის გახსნა. მოეპყარით მისამართს როგორც ქსელურ შეზღუდვას და აღწერეთ ის ასე.

ეს კვლავ სასარგებლოა ზემოქმედების შესაზღუდად და ეს არ არის მოწყობილობის ავთენტიფიკაცია.

მიაბით წვდომა რეგისტრირებულ სერტიფიკატს

თუ მოთხოვნა მოწყობილობის შეზღუდვაა, გამოიყენეთ VPN-ის მხარდაჭერილი თითო მოწყობილობის რეგისტრაცია და თითოეულ კომპიუტერს მიეცით ცალკე იდენტობა.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

საცავის სია აჩვენებს სერტიფიკატს და კერძო გასაღების არსებობას, ხოლო შემოწმება აჩვენებს, მიდის თუ არა ჯაჭვი განსაზღვრულ ღუზამდე. სერტიფიკატი ადასტურებს კონფიგურირებული პოლიტიკით მიღებული კერძო გასაღების ფლობას; ის არ ადასტურებს, რომელ ფიზიკურ მანქანას ჰქონდა ის, როცა გასაღების ექსპორტი და კოპირება შესაძლებელია. პროფილის ლეპტოპის სახელზე დარქმევა საიდუმლოს ისევე გადატანადს ტოვებს, როგორც ადრე. სადაც პლატფორმა მხარს უჭერს, აპარატურულად დაცული გასაღებები ატესტაციის პოლიტიკით უფრო ძლიერ კავშირს იძლევა, და რეგისტრაციამ მაინც უნდა გადაწყვიტოს, ვის შეუძლია სერტიფიკატის მიღება.

გამოსცადეთ საზღვარი, შემდეგ დაგეგმეთ მოხსნა

შეაფასეთ ორი შემთხვევა: დამტკიცებული ლეპტოპი და მომხმარებელი უნდა დაუკავშირდნენ, ხოლო სხვა მოწყობილობა, რომელსაც მხოლოდ მომხმარებლის ანგარიში აქვს, არ უნდა. თუ დიზაინი მოითხოვს როგორც მომხმარებლის, ისე მოწყობილობის შემოწმებას, დაადასტურეთ, რომ არჩეული მეთოდი ორივეს ახორციელებს იმავე სესიაში, ნაცვლად იმის დაშვებისა, რომ ორი დამოუკიდებელი პარამეტრი გაერთიანდება.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

გაუქმებამ უნდა მოხსნას მიღებული მოწყობილობის იდენტობა, ხოლო აქტიური სესიების დამუშავება ცალკე ტესტს იმსახურებს. TPM ან მართული მოწყობილობის დროშა არ არის სუფთა ჯანმრთელობის ცნობა მანქანის ყველა პროცესისთვის.

ჩაწერეთ ქსელური შეზღუდვა, მოწყობილობის სერტიფიკატი და რეგისტრაციის გადაწყვეტილება როგორც სამი კონტროლი სამი მფლობელით. ეს საზღვარს განსახილველს ხდის და სწორედ ამას ვერასოდეს მოგვცემს მხოლოდ მისამართი.