Senarai IP dibenarkan berbanding komputer riba diluluskan: dua kawalan berbeza

Permintaan untuk peraturan yang hanya membenarkan komputer riba diluluskan untuk bersambung sering berakhir sebagai entri firewall untuk alamat awam pejabat. Peraturan itu kini menerima setiap peranti di belakang alamat tersebut. Keperluan dan pelaksanaan bukan perkara yang sama. Pisahkan apa yang dikehendaki dasar daripada apa yang dapat dibuktikan oleh alamat.

Tiga soalan dalam satu permintaan dasar

Bahagikan permintaan kepada tiga bahagian: dari mana sambungan datang, perkhidmatan mana yang boleh dicapai, dan komputer mana yang mengemukakan kredensial. Peraturan alamat sumber menjawab yang pertama, dan peraturan perkhidmatan destinasi menjawab yang kedua. Kedua-duanya tidak mengenal pasti mesin fizikal, kerana kedua-duanya beroperasi pada medan rangkaian yang dikongsi banyak peranti. Yang ketiga memerlukan kredensial yang dikeluarkan kepada peranti itu dan tidak boleh digunakan semula secara senyap.

Tulis ketiga-tiga jawapan secara berasingan. Satu baris firewall tidak dapat memenuhi keperluan yang menyebut tiga perkara.

Apa yang boleh diberitahu oleh alamat sumber

Penterjemahan alamat ialah sebab biasa sesuatu peraturan asal rangkaian menerima terlalu banyak. Segala-galanya di belakang satu jalan keluar pejabat kelihatan sebagai alamat awam yang sama, jadi peraturan itu memberi akses kepada seluruh kumpulan. Alamat tetap di dalam VPN mempunyai kelemahan yang sama di tempat lain: ia penetapan yang terikat pada sesi, bukan sifat perkakasan. Mana-mana peranti yang memegang kredensial yang diterima boleh membuka sesi itu. Anggap alamat sebagai sekatan rangkaian dan huraikannya begitu.

Itu masih berguna untuk mengehadkan pendedahan, dan ia bukan pengesahan peranti.

Ikat akses kepada kredensial berdaftar

Jika keperluan ialah sekatan peranti, gunakan pendaftaran setiap peranti yang disokong VPN dan beri setiap komputer identiti berbeza.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Senarai stor menunjukkan sijil dan sama ada kunci persendirian hadir, dan pengesahan menunjukkan sama ada rantaian menuju sauh yang dimaksudkan. Sijil membuktikan pemilikan kunci persendirian yang diterima di bawah dasar yang dikonfigurasikan; ia tidak membuktikan mesin fizikal mana yang memilikinya apabila kunci itu boleh dieksport dan disalin. Menamakan profil sempena komputer riba membiarkan rahsia itu sama mudah dibawa seperti sebelum ini. Di tempat platform menyokongnya, kunci yang dilindungi perkakasan dengan dasar pengesahan memberikan ikatan lebih kuat, dan pendaftaran masih perlu memutuskan siapa yang boleh menerima kredensial itu.

Uji sempadan, kemudian rancang penyingkiran

Nilai dua kes: komputer riba diluluskan dan pengguna harus bersambung, dan peranti lain yang hanya memegang akaun pengguna tidak sepatutnya. Jika reka bentuk memerlukan pemeriksaan pengguna dan peranti, sahkan bahawa kaedah yang dipilih menguatkuasakan kedua-duanya dalam sesi yang sama dan bukannya menganggap dua tetapan bebas bergabung.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Pembatalan mesti menyingkirkan identiti peranti yang diterima, dan pengendalian sesi aktif wajar mendapat ujian tersendiri. TPM atau penanda peranti terurus bukan sijil kesihatan bersih untuk setiap proses pada mesin itu.

Rekodkan sekatan rangkaian, kredensial peranti dan keputusan pendaftaran sebagai tiga kawalan dengan tiga pemilik. Itu menjadikan sempadan boleh disemak, dan itulah yang tidak dapat diberikan oleh alamat semata-mata.