IP അനുമതിപ്പട്ടികയും അംഗീകൃത ലാപ്ടോപ്പും: രണ്ട് വ്യത്യസ്ത നിയന്ത്രണങ്ങൾ

അംഗീകൃത ലാപ്ടോപ്പ് മാത്രം ബന്ധിപ്പിക്കണം എന്ന നിയമത്തിനുള്ള അഭ്യർത്ഥനകൾ പലപ്പോഴും ഓഫീസിന്റെ പൊതു വിലാസത്തിനുള്ള ഫയർവാൾ എൻട്രിയായി അവസാനിക്കുന്നു. ആ നിയമം ഇപ്പോൾ വിലാസത്തിന് പിന്നിലുള്ള എല്ലാ ഉപകരണങ്ങളെയും അനുവദിക്കുന്നു. ആവശ്യകതയും നടപ്പാക്കലും ഒന്നല്ല. നയം ആഗ്രഹിക്കുന്നതും വിലാസത്തിന് തെളിയിക്കാൻ കഴിയുന്നതും വേർതിരിക്കുക.

ഒരു നയ അഭ്യർത്ഥനയിലെ മൂന്ന് ചോദ്യങ്ങൾ

അഭ്യർത്ഥനയെ മൂന്നായി വിഭജിക്കുക: ബന്ധം എവിടെനിന്ന് വരുന്നു, ഏത് സേവനത്തിലേക്ക് എത്താം, ഏത് കമ്പ്യൂട്ടർ ക്രെഡൻഷ്യൽ അവതരിപ്പിക്കുന്നു. ഉറവിട വിലാസ നിയമം ആദ്യത്തേതിനും ലക്ഷ്യ സേവന നിയമം രണ്ടാമത്തേതിനും ഉത്തരം നൽകുന്നു. രണ്ടും ഭൗതിക യന്ത്രത്തെ തിരിച്ചറിയുന്നില്ല, കാരണം രണ്ടും പല ഉപകരണങ്ങളും പങ്കിടുന്ന നെറ്റ്വർക്ക് ഫീൽഡുകളിൽ പ്രവർത്തിക്കുന്നു. മൂന്നാമത്തേതിന് ആ ഉപകരണത്തിന് നൽകിയതും നിശ്ശബ്ദമായി വീണ്ടും ഉപയോഗിക്കാൻ കഴിയാത്തതുമായ ക്രെഡൻഷ്യൽ വേണം.

മൂന്ന് ഉത്തരങ്ങളും വെവ്വേറെ എഴുതുക. ഒരു ഫയർവാൾ വരി മൂന്ന് കാര്യങ്ങൾ പേരെടുത്ത് പറയുന്ന ആവശ്യകത നിറവേറ്റാൻ കഴിയില്ല.

ഉറവിട വിലാസം നിങ്ങളോട് എന്ത് പറയാം

വിലാസ വിവർത്തനമാണ് നെറ്റ്വർക്ക് ഉറവിട നിയമം അധികം അനുവദിക്കുന്നതിന്റെ സാധാരണ കാരണം. ഒരു ഓഫീസ് എഗ്രസിന് പിന്നിലുള്ള എല്ലാം ഒരേ പൊതു വിലാസമായി കാണപ്പെടുന്നു, അതിനാൽ നിയമം മുഴുവൻ ഗ്രൂപ്പിനും അനുമതി നൽകുന്നു. VPN-നുള്ളിലെ സ്ഥിര വിലാസത്തിന് മറ്റൊരിടത്ത് അതേ ബലഹീനതയുണ്ട്: അത് സെഷനോട് ബന്ധിപ്പിച്ച അനുവാദമാണ്, ഹാർഡ്വെയറിന്റെ സ്വഭാവമല്ല. സ്വീകരിച്ച ക്രെഡൻഷ്യലുള്ള ഏത് ഉപകരണത്തിനും ആ സെഷൻ തുറക്കാം. വിലാസത്തെ നെറ്റ്വർക്ക് നിയന്ത്രണമായി കാണുകയും അങ്ങനെ വിവരിക്കുകയും ചെയ്യുക.

അത് എക്സ്പോഷർ പരിമിതപ്പെടുത്താൻ ഇപ്പോഴും ഉപകാരപ്രദമാണ്, അത് ഉപകരണ പ്രാമാണീകരണമല്ല.

പ്രവേശനം രജിസ്റ്റർ ചെയ്ത ക്രെഡൻഷ്യലിലേക്ക് ബന്ധിപ്പിക്കുക

ആവശ്യകത ഉപകരണ നിയന്ത്രണമാണെങ്കിൽ, VPN പിന്തുണയ്ക്കുന്ന ഓരോ ഉപകരണത്തിനുമുള്ള രജിസ്ട്രേഷൻ ഉപയോഗിച്ച് ഓരോ കമ്പ്യൂട്ടറിനും വ്യത്യസ്ത ഐഡന്റിറ്റി നൽകുക.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

സ്റ്റോർ ലിസ്റ്റ് സർട്ടിഫിക്കറ്റും സ്വകാര്യ കീ ഉണ്ടോ എന്നും കാണിക്കുന്നു, പരിശോധന ചെയിൻ ഉദ്ദേശിച്ച ആങ്കറിലേക്ക് നയിക്കുന്നുണ്ടോ എന്ന് കാണിക്കുന്നു. സർട്ടിഫിക്കറ്റ് കോൺഫിഗർ ചെയ്ത നയപ്രകാരം സ്വീകരിച്ച സ്വകാര്യ കീയുടെ കൈവശം തെളിയിക്കുന്നു; ആ കീ എക്സ്പോർട്ട് ചെയ്ത് പകർത്താൻ കഴിയുമ്പോൾ ഏത് ഭൗതിക യന്ത്രം അത് കൈവശം വച്ചിരുന്നു എന്ന് തെളിയിക്കുന്നില്ല. പ്രൊഫൈലിന് ലാപ്ടോപ്പിന്റെ പേര് നൽകുന്നത് രഹസ്യത്തെ മുമ്പത്തേതുപോലെ കൊണ്ടുപോകാവുന്നതാക്കി വയ്ക്കുന്നു. പ്ലാറ്റ്ഫോം പിന്തുണയ്ക്കുന്നിടത്ത്, അറ്റസ്റ്റേഷൻ നയത്തോടുകൂടിയ ഹാർഡ്വെയർ സംരക്ഷിത കീകൾ ശക്തമായ ബന്ധം നൽകുന്നു, ക്രെഡൻഷ്യൽ ആർക്ക് ലഭിക്കാം എന്ന് രജിസ്ട്രേഷൻ ഇപ്പോഴും തീരുമാനിക്കണം.

അതിർത്തി പരിശോധിച്ച്, പിന്നീട് നീക്കം ആസൂത്രണം ചെയ്യുക

രണ്ട് സാഹചര്യങ്ങൾ വിലയിരുത്തുക: അംഗീകൃത ലാപ്ടോപ്പും ഉപയോക്താവും ബന്ധിപ്പിക്കണം, ഉപയോക്താവിന്റെ അക്കൗണ്ട് മാത്രമുള്ള മറ്റൊരു ഉപകരണം ബന്ധിപ്പിക്കരുത്. രൂപകൽപ്പനയ്ക്ക് ഉപയോക്തൃപരിശോധനയും ഉപകരണ പരിശോധനയും ആവശ്യമാണെങ്കിൽ, തിരഞ്ഞെടുത്ത രീതി രണ്ടും ഒരേ സെഷനിൽ നടപ്പാക്കുന്നുണ്ടെന്ന് പരിശോധിക്കുക, രണ്ട് സ്വതന്ത്ര ക്രമീകരണങ്ങൾ ഒന്നിക്കുന്നു എന്ന് അനുമാനിക്കുന്നതിന് പകരം.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

റദ്ദാക്കൽ സ്വീകരിച്ച ഉപകരണ ഐഡന്റിറ്റി നീക്കണം, സജീവ സെഷനുകളുടെ കൈകാര്യം സ്വന്തം പരിശോധനയ്ക്ക് അർഹമാണ്. TPM അല്ലെങ്കിൽ മാനേജുചെയ്ത ഉപകരണ ഫ്ലാഗ് യന്ത്രത്തിലെ ഓരോ പ്രക്രിയയ്ക്കും വൃത്തിയുള്ള ആരോഗ്യ സർട്ടിഫിക്കറ്റല്ല.

നെറ്റ്വർക്ക് നിയന്ത്രണം, ഉപകരണ ക്രെഡൻഷ്യൽ, രജിസ്ട്രേഷൻ തീരുമാനം എന്നിവ മൂന്ന് ഉടമകളുള്ള മൂന്ന് നിയന്ത്രണങ്ങളായി രേഖപ്പെടുത്തുക. അത് അതിർത്തിയെ പരിശോധനായോഗ്യമാക്കുന്നു, ഒരു വിലാസത്തിന് മാത്രം ഒരിക്കലും നൽകാൻ കഴിയാത്തത് അതാണ്.