IP-tillatelsesliste kontra godkjent bærbar PC: to forskjellige kontroller

Forespørsler om en regel der bare den godkjente bærbare PC-en får koble til, ender ofte som en brannmurføring for kontorets offentlige adresse. Den regelen slipper nå inn alle enheter bak adressen. Kravet og implementasjonen er ikke det samme. Skill det policyen vil fra det adressen kan bevise.

Tre spørsmål i én policyforespørsel

Del forespørselen i tre deler: hvor tilkoblingen kommer fra, hvilken tjeneste den kan nå, og hvilken datamaskin som viser legitimasjonen. En kildeadresseregel svarer på det første, og en destinasjonstjenesteregel på det andre. Ingen av dem identifiserer den fysiske maskinen, fordi begge arbeider på nettverksfelt som mange enheter deler. Det tredje trenger en legitimasjon utstedt til den enheten og som ikke kan gjenbrukes i det stille.

Skriv de tre svarene ned hver for seg. Én brannmurlinje kan ikke oppfylle et krav som nevner tre.

Hva kildeadressen kan fortelle deg

Adresseoversettelse er den vanlige grunnen til at en nettverksopprinnelsesregel slipper inn for mye. Alt bak én kontorutgang vises som den samme offentlige adressen, så regelen gir hele gruppen tilgang. En fast adresse inne i VPN-en har samme svakhet et annet sted: det er en tildeling knyttet til en sesjon, ikke en egenskap ved maskinvaren. Enhver enhet med en godtatt legitimasjon kan åpne den sesjonen. Behandle adressen som en nettverksbegrensning og beskriv den slik.

Det er fortsatt nyttig for å begrense eksponering, og det er ikke enhetsautentisering.

Bind tilgang til en tilmeldt legitimasjon

Hvis kravet er enhetsbegrensning, bruk VPN-ens støttede tilmelding per enhet og gi hver datamaskin en egen identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lagerlisten viser sertifikatet og om det finnes en privat nøkkel, og verifiseringen viser om kjeden fører til det tiltenkte ankeret. Et sertifikat beviser eierskap til den godtatte private nøkkelen under den konfigurerte policyen; det beviser ikke hvilken fysisk maskin som hadde den når nøkkelen kan eksporteres og kopieres. Å navngi profilen etter den bærbare PC-en lar hemmeligheten være like flyttbar som før. Der plattformen støtter det, gir maskinvarebeskyttede nøkler med en attestasjonspolicy en sterkere binding, og tilmeldingen må fortsatt avgjøre hvem som kan motta legitimasjonen.

Test grensen, planlegg deretter fjerningen

Vurder to tilfeller: den godkjente bærbare PC-en og brukeren skal kunne koble til, og en annen enhet med bare brukerens konto skal ikke. Hvis designet krever både en bruker- og enhetskontroll, må du verifisere at metoden som er valgt, håndhever begge i samme sesjon i stedet for å anta at to uavhengige innstillinger kombineres.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Tilbakekalling må fjerne den godtatte enhetsidentiteten, og håndtering av aktive sesjoner fortjener sin egen test. En TPM eller et flagg for administrert enhet er ikke en ren helseattest for hver prosess på maskinen.

Registrer nettverksbegrensningen, enhetens legitimasjon og tilmeldingsbeslutningen som tre kontroller med tre eiere. Det gjør grensen reviderbar, og det er det en adresse alene aldri kan levere.