Список на дозволени IP-а наспроти одобрен лаптоп: две различни контроли

Барањата за правило според кое само одобрениот лаптоп смее да се поврзе често завршуваат како запис во огнен ѕид за јавната адреса на канцеларијата. Тоа правило сега пропушта секој уред зад адресата. Барањето и спроведувањето не се исто. Одделете што сака политиката од она што адресата може да го докаже.

Три прашања во едно барање за политика

Поделете го барањето на три дела: од каде доаѓа врската, кој сервис смее да го достигне и кој компјутер го предава акредитивот. Правилото за изворна адреса одговара на првото, а правилото за целна услуга на второто. Ниту едно не ја идентификува физичката машина, бидејќи двете работат на мрежни полиња што ги делат многу уреди. Третото бара акредитив издаден на тој уред и што не може тивко да се употреби повторно.

Запишете ги трите одговори одделно. Една линија во огнениот ѕид не може да задоволи барање што именува три.

Што може да ви каже изворната адреса

Преведувањето на адреси е вообичаената причина зошто правилото за мрежно потекло пропушта премногу. Сето зад еден канцелариски излез се појавува како истата јавна адреса, па правилото дозволува на целата група. Фиксната адреса внатре во VPN има иста слабост на друго место: таа е доделување врзано за сесија, а не својство на хардверот. Секој уред со прифатен акредитив може да ја отвори таа сесија. Третирајте ја адресата како мрежно ограничување и опишете ја така.

Тоа сѐ уште е корисно за ограничување на изложеноста и не е автентикација на уред.

Врзете го пристапот за регистриран акредитив

Ако барањето е ограничување на уред, користете регистрација по уред поддржана од VPN и дајте му на секој компјутер посебен идентитет.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Списокот во складиштето го покажува сертификатот и дали има приватен клуч, а проверката покажува дали синџирот води до предвиденото сидро. Сертификатот докажува поседување на прифатениот приватен клуч според конфигурираната политика; не докажува која физичка машина го имала кога тој клуч може да се извезе и копира. Именувањето на профилот по лаптопот го остава тајното исто толку преносливо како порано. Каде платформата го поддржува, хардверски заштитените клучеви со политика за атестација даваат посилно врзување, а регистрацијата сѐ уште треба да одлучи кој смее да го добие акредитивот.

Тестирајте ја границата, потоа планирајте отстранување

Оценете два случаи: одобрениот лаптоп и корисникот треба да се поврзат, а друг уред што има само корисничка сметка не треба. Ако дизајнот бара и проверка на корисник и проверка на уред, проверете дали избраниот метод ги наметнува двете во истата сесија наместо да претпоставува дека две независни поставки се комбинираат.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Отповикувањето мора да го отстрани прифатениот идентитет на уредот, а справувањето со активни сесии заслужува сопствен тест. TPM или ознака за управуван уред не е чиста здравствена потврда за секој процес на машината.

Запишете го мрежното ограничување, акредитивот на уредот и одлуката за регистрација како три контроли со три сопственици. Тоа ја прави границата прегледна и тоа е она што самата адреса никогаш не може да го обезбеди.