Lista tal-IP permessi kontra laptop approvat: żewġ kontrolli differenti

Talbiet għal regola li tħalli biss il-laptop approvat jgħaqqad spiss jispiċċaw bħala dħul fil-firewall għall-indirizz pubbliku tal-uffiċċju. Dik ir-regola issa tammetti kull apparat wara l-indirizz. Ir-rekwiżit u l-implimentazzjoni mhumiex l-istess ħaġa. Issepara dak li trid il-politika minn dak li jista' jipprova l-indirizz.

Tliet mistoqsijiet f'talba waħda ta' politika

Aqsam it-talba fi tliet partijiet: minn fejn ġej il-konnessjoni, liema servizz tista' tilħaq, u liema kompjuter jippreżenta l-kredenzjali. Regola tal-indirizz tas-sors twieġeb l-ewwel, u regola tas-servizz tad-destinazzjoni twieġeb it-tieni. L-ebda waħda ma tidentifika l-magna fiżika, għax it-tnejn jaħdmu fuq oqsma tan-netwerk li jaqsmu ħafna apparati. It-tielet teħtieġ kredenzjali maħruġa lil dak l-apparat u li ma tistax terġa' tintuża bil-moħbi.

Ikteb it-tliet tweġibiet separatament. Linja waħda tal-firewall ma tistax tissodisfa rekwiżit li jsemmi tlieta.

X'tista' tgħidlek l-indirizz tas-sors

It-traduzzjoni tal-indirizzi hija r-raġuni tas-soltu li regola tal-oriġini tan-netwerk tammetti wisq. Kull ma jinsab wara ħruġ wieħed tal-uffiċċju jidher bħala l-istess indirizz pubbliku, għalhekk ir-regola tagħti aċċess lill-grupp kollu. Indirizz fiss ġewwa l-VPN għandu l-istess dgħjufija f'post ieħor: hija allokazzjoni marbuta ma' sessjoni, mhux proprjetà tal-ħardwer. Kwalunkwe apparat li jkollu kredenzjali aċċettata jista' jiftaħ dik is-sessjoni. Ittratta l-indirizz bħala restrizzjoni tan-netwerk u ddeskrivih hekk.

Dan għadu utli biex tillimita l-espożizzjoni, u mhuwiex awtentikazzjoni tal-apparat.

Orbot l-aċċess ma' kredenzjali reġistrata

Jekk ir-rekwiżit huwa restrizzjoni tal-apparat, uża r-reġistrazzjoni għal kull apparat appoġġjata mill-VPN u agħti lil kull kompjuter identità distinta.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Il-lista tal-maħżen turi ċ-ċertifikat u jekk hemmx ċavetta privata, u l-verifika turi jekk il-katina twassalx għall-ankra maħsuba. Ċertifikat jipprova l-pussess taċ-ċavetta privata aċċettata skont il-politika konfigurata; ma jippruvax liema magna fiżika kellha din iċ-ċavetta meta din tista' tiġi esportata u kkupjata. L-isem tal-profil fuq il-laptop iħalli s-sigriet daqstant portabbli bħal qabel. Fejn il-pjattaforma tappoġġja, ċwievet protetti mill-ħardwer b'politika ta' attestazzjoni jagħtu rabta aktar b'saħħitha, u r-reġistrazzjoni xorta trid tiddeċiedi min jista' jirċievi l-kredenzjali.

Ittestja l-konfini, imbagħad ippjana t-tneħħija

Evalwa żewġ każijiet: il-laptop approvat u l-utent għandhom jgħaqqdu, u apparat ieħor li jkollu biss il-kont tal-utent m'għandux. Jekk id-disinn jeħtieġ verifika tal-utent u tal-apparat, ivverifika li l-metodu magħżul jenforza t-tnejn fl-istess sessjoni minflok jassumi li żewġ settings indipendenti jingħaqdu.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Ir-revoka trid tneħħi l-identità aċċettata tal-apparat, u t-trattament ta' sessjonijiet attivi jistħoqqlu test tiegħu. TPM jew marka ta' apparat immaniġġjat mhijiex ċertifikat nadif tas-saħħa għal kull proċess fuq il-magna.

Irreġistra r-restrizzjoni tan-netwerk, il-kredenzjali tal-apparat u d-deċiżjoni tar-reġistrazzjoni bħala tliet kontrolli b'tliet sidien. Dan jagħmel il-konfini reviżabbli, u dan huwa dak li indirizz waħdu qatt ma jista' jipprovdi.