IP-Zoulassungslescht géint approuvéierten Laptop: zwou verschidde Kontrollen

Ufroe fir eng Reegel, datt nëmmen den approuvéierten Laptop sech dierf verbannen, enden dacks als Firewall-Andrag fir d'ëffentlech Adress vum Büro. Déi Reegel léisst elo all Apparat hannert der Adress erduerch. D'Fuerderung an d'Ëmsetzung sinn net datselwecht. Trennt dat, wat d'Politik wëllt, vun deem, wat d'Adress ka beweisen.

Dräi Froen an enger Politik-Ufro

Deelt d'Ufro an dräi Deeler: wou d'Verbindung hierkënnt, wéi engem Service se erreeche kann, a wéi ee Computer den Zertifikaat presentéiert. Eng Quelladress-Reegel äntwert op dat éischt, an eng Zilservice-Reegel op dat zweet. Keng vun deenen zwee identifizéiert déi physesch Maschinn, well allebéid op Netzwierkfelder schaffen, déi vill Apparater deelen. Dat drëttt brauch en Zertifikaat, deen deem Apparat ausgestallt gouf an deen net stëll ka weiderbenotzt ginn.

Schreift déi dräi Äntwerten getrennt op. Eng eenzeg Firewall-Zeil ka keng Fuerderung erfëllen, déi dräi nennt.

Wat d'Quelladress Iech ka soen

Adressiwwersetzung ass de gewéinleche Grond, firwat eng Netzwierk-Urspronksregel ze vill erduerchléisst. Alles hannert engem Büroausgang erschéngt als déiselwecht ëffentlech Adress, dofir gëtt d'Reegel der ganzer Grupp Zougang. Eng fix Adress bannent dem VPN huet déiselwecht Schwächt op enger anerer Plaz: et ass eng Zousetzung, déi un eng Sessioun gebonnen ass, net eng Eegenschaft vun der Hardware. All Apparat mat engem akzeptéierten Zertifikaat ka déi Sessioun opmaachen. Behandelt d'Adress als Netzwierkrestriktioun a beschreift se esou.

Dat ass nach ëmmer nëtzlech, fir d'Expositioun ze limitéieren, an et ass keng Apparat-Authentifikatioun.

Bindt den Zougang un en ageschriwwenen Zertifikaat

Wann d'Fuerderung eng Apparatrestriktioun ass, benotzt d'VPN-ënnerstëtzten Aschreiwung pro Apparat a gitt all Computer eng eege Identitéit.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

D'Lagerlescht weist den Zertifikaat an ob en private Schlëssel do ass, an d'Iwwerpréiwung weist, ob d'Kette bis zum virgesinnene Punkt féiert. En Zertifikaat beweist de Besëtz vum akzeptéierte private Schlëssel ënner der konfiguréierter Politik; et beweist net, wéi eng physesch Maschinn en hat, wann dee Schlëssel ka exportéiert a kopéiert ginn. De Profil no dem Laptop ze nennen, léisst de Geheimnis grad esou transportabel wéi virdrun. Wou d'Plattform et ënnerstëtzt, ginn hardwaregeschützt Schlësselen mat enger Attestatiounspolitik eng méi staark Bindung, an d'Aschreiwung muss nach ëmmer entscheeden, wien den Zertifikaat kréie kann.

Test d'Grenz, da plangt d'Entfernung

Bewert zwee Fäll: den approuvéierten Laptop an de Benotzer solle sech verbannen, an en aneren Apparat, deen nëmmen dem Benotzer säi Kont huet, sollt net. Wann den Design souwuel eng Benotzer- wéi eng Apparatpréiwung erfuerdert, iwwerpréift, ob déi gewielte Method béid an der selwechter Sessioun duerchsetzt, amplaz unzehuelen, datt zwou onofhängeg Astellungen sech kombinéieren.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

D'Revocatioun muss déi akzeptéiert Apparat-Identitéit entfernen, an d'Behandlung vun aktive Sessiounen verdéngt hiren eegenen Test. En TPM oder eng Markéierung als verwalteten Apparat ass keen proppere Gesondheetszertifikaat fir all Prozess op der Maschinn.

Dokumentéiert d'Netzwierkrestriktioun, den Zertifikaat vum Apparat an d'Decisioun vun der Aschreiwung als dräi Kontrollen mat dräi Besëtzer. Dat mécht d'Grenz iwwerpréifbar, an et ass dat, wat eng Adress eleng ni ka bidden.