IP atļauto saraksts pret apstiprinātu klēpjdatoru: divas dažādas kontroles

Pieprasījumi pēc noteikuma, ka pieslēgties drīkst tikai apstiprinātais klēpjdators, bieži beidzas kā ugunsmūra ieraksts biroja publiskajai adresei. Šis noteikums tagad ielaiž ikvienu ierīci aiz adreses. Prasība un ieviešana nav viens un tas pats. Atdaliet to, ko vēlas politika, no tā, ko adrese spēj pierādīt.

Trīs jautājumi vienā politikas pieprasījumā

Sadaliet pieprasījumu trīs daļās: no kurienes nāk savienojums, kuru pakalpojumu tas drīkst sasniegt un kurš dators uzrāda akreditāciju. Avota adreses noteikums atbild uz pirmo, bet galamērķa pakalpojuma noteikums uz otro. Neviens neidentificē fizisko mašīnu, jo abi darbojas tīkla laukos, ko dala daudzas ierīces. Trešajam vajadzīga akreditācija, kas izsniegta šai ierīcei un ko nevar klusi izmantot atkārtoti.

Pierakstiet trīs atbildes atsevišķi. Viena ugunsmūra rinda nevar apmierināt prasību, kurā nosaukti trīs.

Ko var pateikt avota adrese

Adrešu tulkošana ir parastais iemesls, kāpēc tīkla izcelsmes noteikums ielaiž pārāk daudz. Viss aiz vienas biroja izejas parādās kā viena un tā pati publiskā adrese, tāpēc noteikums piešķir piekļuvi visai grupai. Fiksēta adrese VPN iekšienē citur ir ar tādu pašu vājumu: tā ir sesijai piesaistīts piešķīrums, nevis aparatūras īpašība. Jebkura ierīce ar pieņemtu akreditāciju var atvērt šo sesiju. Uzlūkojiet adresi kā tīkla ierobežojumu un aprakstiet to tā.

Tas joprojām ir noderīgi iedarbības ierobežošanai, un tā nav ierīces autentifikācija.

Saistiet piekļuvi ar reģistrētu akreditāciju

Ja prasība ir ierīces ierobežojums, izmantojiet VPN atbalstīto reģistrāciju katrai ierīcei un piešķiriet katram datoram atsevišķu identitāti.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Krātuves saraksts parāda sertifikātu un to, vai ir privātā atslēga, un pārbaude parāda, vai ķēde ved uz paredzēto enkursakni. Sertifikāts pierāda konfigurētās politikas pieņemtās privātās atslēgas turēšanu; tas nepierāda, kura fiziskā mašīna to turēja, ja šo atslēgu var eksportēt un kopēt. Profila nosaukšana klēpjdatora vārdā atstāj noslēpumu tikpat pārvietojamu kā iepriekš. Kur platforma to atbalsta, aparatūras aizsargātas atslēgas ar attestācijas politiku dod stingrāku saiti, un reģistrācijai joprojām jāizlemj, kas drīkst saņemt akreditāciju.

Pārbaudiet robežu, pēc tam plānojiet noņemšanu

Novērtējiet divus gadījumus: apstiprinātajam klēpjdatoram un lietotājam jāpieslēdzas, bet citai ierīcei, kurai ir tikai lietotāja konts, nevajadzētu. Ja dizains prasa gan lietotāja, gan ierīces pārbaudi, pārliecinieties, ka izvēlētā metode abus īsteno tajā pašā sesijā, nevis pieņemot, ka divi neatkarīgi iestatījumi apvienojas.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Atsaukšanai jānoņem pieņemtā ierīces identitāte, un aktīvo sesiju apstrāde ir pelnījusi savu testu. TPM vai pārvaldītas ierīces karodziņš nav tīrs veselības sertifikāts katrai mašīnas procesai.

Reģistrējiet tīkla ierobežojumu, ierīces akreditāciju un reģistrācijas lēmumu kā trīs kontroles ar trim īpašniekiem. Tas padara robežu pārskatāmu, un to viena adrese nekad nevar nodrošināt.