IP leidžiamų sąrašas ar patvirtintas nešiojamasis kompiuteris: dvi skirtingos kontrolės

Prašymai dėl taisyklės, kad jungtis galėtų tik patvirtintas nešiojamasis kompiuteris, dažnai baigiasi kaip ugniasienės įrašas biuro viešajam adresui. Ši taisyklė dabar įleidžia kiekvieną įrenginį už adreso. Reikalavimas ir įgyvendinimas nėra tas pats. Atskirkite, ko nori politika, nuo to, ką adresas gali įrodyti.

Trys klausimai viename politikos prašyme

Padalinkite prašymą į tris dalis: iš kur ateina ryšys, kurią paslaugą jis gali pasiekti ir kuris kompiuteris pateikia įgaliojimą. Šaltinio adreso taisyklė atsako į pirmąjį, o paskirties paslaugos taisyklė į antrąjį. Nė viena neidentifikuoja fizinės mašinos, nes abi veikia tinklo laukuose, kuriuos dalijasi daug įrenginių. Trečiajam reikia tam įrenginiui išduoto įgaliojimo, kurio negalima tyliai panaudoti iš naujo.

Užrašykite tris atsakymus atskirai. Viena ugniasienės eilutė negali patenkinti reikalavimo, kuriame įvardyti trys.

Ką gali pasakyti šaltinio adresas

Adresų vertimas yra įprasta priežastis, kodėl tinklo kilmės taisyklė įleidžia per daug. Viskas už vieno biuro išėjimo atrodo kaip tas pats viešasis adresas, todėl taisyklė suteikia prieigą visai grupei. Fiksuotas adresas VPN viduje turi tą pačią silpnybę kitoje vietoje: tai sesijai priskirtas skyrimas, o ne techninės įrangos savybė. Bet kuris įrenginys su priimtu įgaliojimu gali atidaryti tą sesiją. Traktuokite adresą kaip tinklo apribojimą ir taip jį apibūdinkite.

Tai vis dar naudinga ribojant poveikį, ir tai nėra įrenginio autentifikavimas.

Susiekite prieigą su užregistruotu įgaliojimu

Jei reikalavimas yra įrenginio apribojimas, naudokite VPN palaikomą registraciją kiekvienam įrenginiui ir suteikite kiekvienam kompiuteriui atskirą tapatybę.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Saugyklos sąrašas rodo sertifikatą ir ar yra privatusis raktas, o patikra rodo, ar grandinė veda prie numatyto inkaro. Sertifikatas įrodo priimto privataus rakto turėjimą pagal sukonfigūruotą politiką; jis neįrodo, kuri fizinė mašina jį turėjo, kai tą raktą galima eksportuoti ir nukopijuoti. Profilio pavadinimas pagal nešiojamąjį kompiuterį palieka paslaptį tokią pat perkeliamą kaip anksčiau. Kai platforma tai palaiko, techninės įrangos apsaugoti raktai su atestacijos politika suteikia tvirtesnį ryšį, o registracija vis tiek turi nuspręsti, kas gali gauti įgaliojimą.

Išbandykite ribą, tada planuokite pašalinimą

Įvertinkite du atvejus: patvirtintas nešiojamasis kompiuteris ir naudotojas turi prisijungti, o kitas įrenginys, turintis tik naudotojo paskyrą, neturėtų. Jei dizainas reikalauja ir naudotojo, ir įrenginio patikros, patikrinkite, ar pasirinktas metodas abi įgyvendina toje pačioje sesijoje, o ne darant prielaidą, kad dvi nepriklausomos nuostatos susijungia.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Atšaukimas turi pašalinti priimtą įrenginio tapatybę, o aktyvių sesijų tvarkymas nusipelno atskiro testo. TPM ar valdomo įrenginio žyma nėra švarus sveikatos sertifikatas kiekvienam mašinos procesui.

Užregistruokite tinklo apribojimą, įrenginio įgaliojimą ir registracijos sprendimą kaip tris kontroles su trimis savininkais. Tai daro ribą peržiūrimą, ir to vien adresas niekada negali suteikti.