Уруксат берилген IP тизмеси же бекитилген ноутбук: эки башка көзөмөл

Бекитилген ноутбук гана туташа алат деген эреже тууралуу суроолор көбүнчө кеңсенин коомдук дареги үчүн брандмауэр жазуусу менен бүтөт. Бул эреже эми даректин артындагы ар бир түзмөктү өткөрөт. Талап менен аткаруу бир нерсе эмес. Саясаттын эмнени каалаарын даректин эмнени далилдей аларынан бөлүңүз.

Бир саясат суроосундағы үч суроо

Суроону үч бөлүккө бөлүңүз: байланыш кайдан келет, кайсы кызматка жете алат жана кайсы компьютер күбөлүктү сунуштайт. Башат дарегинин эрежеси биринчисине, ал эми багыттагы кызмат эрежеси экинчисине жооп берет. Экөө тең физикалык машинаны аныктабайт, анткени экөө тең көп түзмөктөр бөлүшкөн тармак талааларында иштейт. Үчүнчүсүнө ошол түзмөккө берилген жана үнсүз кайра колдонулбаган күбөлүк керек.

Үч жоопту өзүнчө жазыңыз. Бир брандмауэр сабы үч нерсени атаган талапты канааттандыра албайт.

Башат дареги эмнени айта алат

Даректерди которуу тармактык башат эрежесинин ашыкча уруксат беришинин кадимки себеби. Бир кеңсе чыгымынын артындагынын баары бирдей коомдук дарек катары көрүнөт, ошондуктан эреже бүт топко уруксат берет. VPN ичиндеги туруктуу даректин башка жерде ошол эле алсыздыгы бар: бул сессияга байланган дайындоо, аппараттык касиет эмес. Кабыл алынган күбөлүгү бар каалаган түзмөк ошол сессияны ача алат. Даректи тармактык чектөө катары караңыз жана ошондой сүрөттөңүз.

Бул таасирди чектөө үчүн дагы пайдалуу, жана бул түзмөктү аутентификациялоо эмес.

Жетүүнү катталган күбөлүккө байлаңыз

Эгер талап түзмөктү чектөө болсо, VPN колдогон ар бир түзмөк боюнча каттоону колдонуңуз жана ар бир компьютерге өзүнчө инсандык бериңиз.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Кампа тизмеси күбөлүктү жана жеке ачкычтын бар-жогун көрсөтөт, ал эми текшерүү чынжырдын көздөлгөн зымга алып бараарын көрсөтөт. Күбөлүк конфигурацияланган саясат боюнча кабыл алынган жеке ачкычка ээликти далилдейт; ал ачкычты экспорттоого жана көчүрүүгө болгондо аны кайсы физикалык машина кармаганын далилдебейт. Профилди ноутбуктун аты менен атоо сырды мурункудай эле жылдырууга боло тургандай калтырат. Платформа колдогон жерде аппараттык корголгон ачкычтар аттестациялоо саясаты менен бекем байланыш берет, ал эми каттоо күбөлүктү ким ала аларын дагы чечиши керек.

Чекти сынап, анан алып салууну пландаңыз

Эки учурду баалаңыз: бекитилген ноутбук менен колдонуучу туташы керек, ал эми колдонуучунун эсеби гана бар башка түзмөк туташпашы керек. Эгер долбоор колдонуучуну да, түзмөктү да текшерүүнү талап кылса, тандалган ыкма экөөнү тең бир сессияда аткараарын текшериңиз, эки көз карандысыз жөндөө биригет деп божомолдоонун ордуна.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Кайтарып алуу кабыл алынган түзмөк инсандыгын алып салышы керек, ал эми активдүү сессияларды иштетүү өзүнчө сыноого татыктуу. TPM же башкарылуучу түзмөктүн желеги машинадагы ар бир процесске таза ден соолук күбөлүгү эмес.

Тармактык чектөөнү, түзмөктүн күбөлүгүн жана каттоо чечимин үч ээси бар үч көзөмөл катары жазыңыз. Бул чекти карап чыгууга мүмкүн кылат жана муну жалгыз дарек эч качан бере албайт.