Рұқсат етілген IP тізімі немесе мақұлданған ноутбук: екі түрлі бақылау

Тек мақұлданған ноутбук қосыла алатын ереже туралы сұраныстар көбінесе кеңсенің жария мекенжайы үшін брандмауэр жазбасымен аяқталады. Бұл ереже енді мекенжайдың артындағы әрбір құрылғыны жібереді. Талап пен іске асыру бір нәрсе емес. Саясаттың не қалайтынын мекенжайдың не дәлелдей алатынынан бөліңіз.

Бір саясат сұранысындағы үш сұрақ

Сұранысты үш бөлікке бөліңіз: байланыс қайдан келеді, қай қызметке жете алады және қай компьютер куәлікті ұсынады. Бастау көзі мекенжайының ережесі біріншісіне, ал мақсаттық қызмет ережесі екіншісіне жауап береді. Екеуі де физикалық машинаны анықтамайды, өйткені екеуі де көптеген құрылғылар ортақ пайдаланатын желі өрістерінде жұмыс істейді. Үшіншісіне сол құрылғыға берілген және үнсіз қайта пайдалануға келмейтін куәлік қажет.

Үш жауапты бөлек жазыңыз. Бір брандмауэр жолы үш нәрсені атайтын талапты қанағаттандыра алмайды.

Бастау көзі мекенжайы не айта алады

Мекенжай аудармасы желілік бастау ережесінің шамадан тыс рұқсат беруінің әдеттегі себебі. Бір кеңсе шығуының артындағының бәрі бірдей жария мекенжай ретінде көрінеді, сондықтан ереже бүкіл топқа рұқсат береді. VPN ішіндегі тұрақты мекенжайдың басқа жерде сол әлсіздігі бар: бұл сессияға байланған тағайындау, аппараттық қасиет емес. Қабылданған куәлігі бар кез келген құрылғы сол сессияны аша алады. Мекенжайды желілік шектеу ретінде қарастырыңыз және солай сипаттаңыз.

Бұл әсерді шектеу үшін әлі де пайдалы, және бұл құрылғыны аутентификациялау емес.

Қатынауды тіркелген куәлікке байланыстырыңыз

Егер талап құрылғыны шектеу болса, VPN қолдайтын әр құрылғы бойынша тіркеуді пайдаланыңыз және әр компьютерге жеке сәйкестік беріңіз.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Қойма тізімі куәлікті және жеке кілттің бар-жоғын көрсетеді, ал тексеру тізбектің көзделген зәкірге апаратынын көрсетеді. Куәлік конфигурацияланған саясат бойынша қабылданған жеке кілтке иелікті дәлелдейді; ол кілтті экспорттауға және көшіруге болатын кезде оны қай физикалық машина ұстағанын дәлелдемейді. Профильді ноутбук атымен атау құпияны бұрынғыдай ауысымды етеді. Платформа қолдаған жерде аппараттық қорғалған кілттер аттестаттау саясатымен күштірек байланыс береді, ал тіркеу куәлікті кім ала алатынын әлі де шешуі керек.

Шекараны сынап, содан кейін жоюды жоспарлаңыз

Екі жағдайды бағалаңыз: мақұлданған ноутбук пен пайдаланушы қосылуы керек, ал тек пайдаланушының тіркелгісі бар басқа құрылғы қосылмауы керек. Егер жоба пайдаланушыны да, құрылғыны да тексеруді талап етсе, таңдалған әдіс екеуін де бір сессияда қолдайтынын тексеріңіз, екі тәуелсіз параметр бірігеді деп болжаудың орнына.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Кері шақыру қабылданған құрылғы сәйкестігін жоюы керек, ал белсенді сессияларды өңдеу жеке сынаққа лайық. TPM немесе басқарылатын құрылғы жалауы машинадағы әрбір процеске таза денсаулық анықтамасы емес.

Желілік шектеуді, құрылғы куәлігін және тіркеу шешімін үш иесі бар үш бақылау ретінде тіркеңіз. Бұл шекараны қарап шығуға болатын етеді және мұны тек мекенжай ешқашан бере алмайды.