Зөвшөөрөгдсөн IP жагсаалт ба баталгаажсан зөөврийн компьютер: хоёр өөр хяналт

Зөвхөн баталгаажсан зөөврийн компьютер холбогдох ёстой гэсэн дүрмийн хүсэлтүүд ихэвчлэн оффисын нийтийн хаягийн галт ханын бичлэг болж дуусдаг. Энэ дүрэм одоо хаягийн ард байгаа бүх төхөөрөмжийг нэвтрүүлж байна. Шаардлага ба хэрэгжилт нэг зүйл биш. Бодлого юу хүсэж байгааг хаяг юу нотолж чадахаас тусгаарлана уу.

Нэг бодлогын хүсэлт дэх гурван асуулт

Хүсэлтийг гурван хэсэгт хуваана уу: холболт хаанаас ирж байна, ямар үйлчилгээнд хүрч чадах вэ, аль компьютер итгэмжлэлийг танилцуулж байна вэ. Эх хаягийн дүрэм эхнийхэд, очих үйлчилгээний дүрэм хоёр дахьд хариулна. Хоёулаа физик машиныг тодорхойлохгүй, учир нь хоёулаа олон төхөөрөмжийн хуваалцдаг сүлжээний талбар дээр ажилладаг. Гурав дахь нь тухайн төхөөрөмжид олгогдсон, чимээгүй дахин ашиглах боломжгүй итгэмжлэл шаарддаг.

Гурван хариултыг тусад нь бичнэ үү. Нэг галт ханын мөр гурвыг нэрлэсэн шаардлагыг хангаж чадахгүй.

Эх хаяг танд юу хэлж чадах вэ

Хаягийн орчуулга нь сүлжээний эх сурвалжийн дүрэм хэт их зөвшөөрдөг нийтлэг шалтгаан юм. Нэг оффисын гарах хаалганы ард байгаа бүхэн ижил нийтийн хаяг мэт харагдана, тиймээс дүрэм бүх бүлэгт зөвшөөрөл өгдөг. VPN доторх тогтмол хаяг өөр газарт мөн адил сул талтай: энэ нь сессид холбогдсон хуваарилалт, техник хангамжийн шинж биш. Хүлээн зөвшөөрөгдсөн итгэмжлэл бүхий аливаа төхөөрөмж тэр сессийг нээж чадна. Хаягийг сүлжээний хязгаарлалт гэж үзэж, тэгж тайлбарлана уу.

Энэ нь өртөлтийг хязгаарлахад одоо ч хэрэгтэй бөгөөд энэ нь төхөөрөмжийн баталгаажуулалт биш.

Хандалтыг бүртгэгдсэн итгэмжлэлд холбоно уу

Шаардлага нь төхөөрөмжийн хязгаарлалт бол VPN-ийн дэмждэг төхөөрөмж тус бүрийн бүртгэлийг ашиглаж, компьютер бүрт өөр таних тэмдэг өгнө үү.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Агуулахын жагсаалт сертификат болон хувийн түлхүүр байгаа эсэхийг харуулж, шалгалт гинжин хэлхээ нь зориулсан зангуу руу хүрч байгаа эсэхийг харуулна. Сертификат нь тохируулсан бодлогын дагуу хүлээн зөвшөөрөгдсөн хувийн түлхүүрийг эзэмшиж буйг нотолдог; тэр түлхүүрийг экспортлож, хуулж болох үед аль физик машин эзэмшиж байсныг нотолдоггүй. Профайлыг зөөврийн компьютерийн нэрээр нэрлэх нь нууцыг өмнөх шигээ зөөвөрлөх боломжтой хэвээр үлдээдэг. Платформ дэмждэг газарт техник хангамжаар хамгаалагдсан түлхүүрүүд аттестацийн бодлоготой хамт илүү бат бөх холбоос өгдөг бөгөөд бүртгэл нь итгэмжлэлийг хэн авч болохыг шийдэх ёстой хэвээр.

Хязгаарыг туршаад, дараа нь устгахыг төлөвлө

Хоёр тохиолдлыг үнэлнэ үү: баталгаажсан зөөврийн компьютер болон хэрэглэгч холбогдох ёстой, зөвхөн хэрэглэгчийн бүртгэлтэй өөр төхөөрөмж холбогдох ёсгүй. Хэрэв загвар нь хэрэглэгч болон төхөөрөмжийн шалгалтыг хоёуланг нь шаарддаг бол сонгосон арга хоёуланг нь нэг сессид хэрэгжүүлж байгаа эсэхийг шалгана уу, хоёр бие даасан тохиргоо нэгдэнэ гэж таамаглахын оронд.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Хүчингүй болгох нь хүлээн зөвшөөрөгдсөн төхөөрөмжийн таних тэмдгийг устгах ёстой бөгөөд идэвхтэй сессийн зохицуулалт өөрийн гэсэн туршилт хийх ёстой. TPM эсвэл удирдлагатай төхөөрөмжийн туг нь машин дээрх бүх процессын хувьд цэвэр эрүүл мэндийн гэрчилгээ биш.

Сүлжээний хязгаарлалт, төхөөрөмжийн итгэмжлэл, бүртгэлийн шийдвэрийг гурван эзэнтэй гурван хяналт болгон бүртгэнэ үү. Энэ нь хязгаарыг хянах боломжтой болгож, зөвхөн хаяг хэзээ ч өгч чадахгүй зүйл нь энэ юм.