IP परवानगी यादी विरुद्ध मंजूर लॅपटॉप: दोन वेगळे नियंत्रण

फक्त मंजूर लॅपटॉप जोडला जाऊ शकतो अशा नियमाच्या विनंत्या बऱ्याचदा कार्यालयाच्या सार्वजनिक पत्त्यासाठी फायरवॉल नोंदीत संपतात. तो नियम आता पत्त्यामागील प्रत्येक उपकरणाला प्रवेश देतो. आवश्यकता आणि अंमलबजावणी एकच गोष्ट नाही. धोरण काय इच्छिते आणि पत्ता काय सिद्ध करू शकतो हे वेगळे करा.

एका धोरण विनंतीतील तीन प्रश्न

विनंतीचे तीन भाग करा: जोडणी कुठून येते, कोणत्या सेवेपर्यंत पोहोचू शकते, आणि कोणता संगणक ओळखपत्र सादर करतो. स्रोत-पत्ता नियम पहिल्याला उत्तर देतो, आणि गंतव्य-सेवा नियम दुसऱ्याला. दोन्हीपैकी कोणीही भौतिक यंत्र ओळखत नाही, कारण दोन्ही अशा नेटवर्क क्षेत्रांवर काम करतात जी अनेक उपकरणे सामायिक करतात. तिसऱ्यासाठी त्या उपकरणाला दिलेले आणि गुपचूप पुन्हा वापरता न येणारे ओळखपत्र लागते.

तीन उत्तरे स्वतंत्रपणे लिहा. एका फायरवॉल ओळीने तीन गोष्टींचा उल्लेख करणारी आवश्यकता पूर्ण होऊ शकत नाही.

स्रोत पत्ता तुम्हाला काय सांगू शकतो

पत्ता अनुवाद हेच सामान्य कारण आहे की नेटवर्क-स्रोत नियम जास्त परवानगी देतो. एका कार्यालय निर्गमामागील सर्व काही एकाच सार्वजनिक पत्त्यासारखे दिसते, म्हणून नियम संपूर्ण गटाला परवानगी देतो. VPN मधील स्थिर पत्त्याला दुसरीकडे तीच कमजोरी आहे: ते सत्राशी जोडलेले वाटप आहे, हार्डवेअरचा गुणधर्म नाही. स्वीकारलेले ओळखपत्र असलेले कोणतेही उपकरण ते सत्र उघडू शकते. पत्त्याला नेटवर्क मर्यादा माना आणि तसेच वर्णन करा.

ते उघड होणे मर्यादित करण्यासाठी अजूनही उपयुक्त आहे, आणि ते उपकरण प्रमाणीकरण नाही.

प्रवेश नोंदणीकृत ओळखपत्राशी बांधा

आवश्यकता उपकरण मर्यादा असेल तर VPN समर्थित प्रति-उपकरण नोंदणी वापरा आणि प्रत्येक संगणकाला वेगळी ओळख द्या.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

साठवण यादी प्रमाणपत्र आणि खाजगी किल्ली आहे का ते दाखवते, आणि पडताळणी साखळी इच्छित अँकरपर्यंत पोहोचते का ते दाखवते. प्रमाणपत्र संरचित धोरणानुसार स्वीकारलेल्या खाजगी किल्लीचा ताबा सिद्ध करते; ती किल्ली निर्यात आणि प्रत करता येते तेव्हा कोणत्या भौतिक यंत्राकडे ती होती हे सिद्ध करत नाही. प्रोफाइलला लॅपटॉपचे नाव देणे रहस्याला पूर्वीइतकेच वाहून नेण्यायोग्य ठेवते. जिथे प्लॅटफॉर्म समर्थन देतो, तिथे अॅटेस्टेशन धोरणासह हार्डवेअर-संरक्षित किल्ल्या अधिक मजबूत बंधन देतात, आणि ओळखपत्र कोणाला मिळू शकते हे नोंदणीने अजूनही ठरवायचे आहे.

सीमा तपासा, नंतर काढण्याची योजना करा

दोन प्रकरणांचे मूल्यांकन करा: मंजूर लॅपटॉप आणि वापरकर्ता जोडले जावे, आणि फक्त वापरकर्त्याचे खाते असलेले दुसरे उपकरण जोडले जाऊ नये. रचनेत वापरकर्ता आणि उपकरण दोन्हींची तपासणी आवश्यक असल्यास, निवडलेली पद्धत दोन्ही एकाच सत्रात लागू करते का ते पडताळा, दोन स्वतंत्र सेटिंग्ज एकत्र येतात असे गृहीत धरण्याऐवजी.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

रद्द करण्याने स्वीकारलेली उपकरण ओळख काढली पाहिजे, आणि सक्रिय सत्रांची हाताळणी स्वतःच्या चाचणीला पात्र आहे. TPM किंवा व्यवस्थापित-उपकरण ध्वज यंत्रावरील प्रत्येक प्रक्रियेसाठी स्वच्छ आरोग्य प्रमाणपत्र नाही.

नेटवर्क मर्यादा, उपकरण ओळखपत्र आणि नोंदणी निर्णय तीन मालकांसह तीन नियंत्रणे म्हणून नोंदवा. त्यामुळे सीमा पुनरावलोकनयोग्य होते, आणि केवळ एक पत्ता कधीही देऊ शकत नाही ते हेच.