IP अनुमति सूची र स्वीकृत ल्यापटप: दुई फरक नियन्त्रण

स्वीकृत ल्यापटपले मात्र जडान गर्न सक्ने नियमका अनुरोधहरू प्रायः कार्यालयको सार्वजनिक ठेगानाका लागि फायरवाल प्रविष्टिका रूपमा टुङ्गिन्छन्। त्यो नियमले अब ठेगानाभित्रका सबै यन्त्रलाई प्रवेश दिन्छ। आवश्यकता र कार्यान्वयन एउटै कुरा होइन। नीतिले के चाहन्छ र ठेगानाले के प्रमाणित गर्न सक्छ, छुट्याउनुहोस्।

एउटै नीति अनुरोधमा तीन प्रश्न

अनुरोधलाई तीन भागमा बाँड्नुहोस्: जडान कहाँबाट आउँछ, कुन सेवासम्म पुग्न सक्छ, र कुन कम्प्युटरले प्रमाण प्रस्तुत गर्छ। स्रोत-ठेगाना नियमले पहिलोको जवाफ दिन्छ, र गन्तव्य-सेवा नियमले दोस्रोको। दुवैले भौतिक मेसिन पहिचान गर्दैनन्, किनकि दुवै धेरै यन्त्रले साझा गर्ने सञ्जाल क्षेत्रमा काम गर्छन्। तेस्रोका लागि त्यो यन्त्रलाई जारी गरिएको र चुपचाप पुनः प्रयोग गर्न नमिल्ने प्रमाण चाहिन्छ।

तीनै जवाफ अलग-अलग लेख्नुहोस्। एउटा फायरवाल लाइनले तीन कुरा उल्लेख गर्ने आवश्यकता पूरा गर्न सक्दैन।

स्रोत ठेगानाले तपाईंलाई के बताउन सक्छ

ठेगाना अनुवाद नै सञ्जाल-स्रोत नियमले धेरै अनुमति दिने सामान्य कारण हो। एउटा कार्यालय निर्गमनपछिको सबै कुरा एउटै सार्वजनिक ठेगानाका रूपमा देखिन्छ, त्यसैले नियमले सम्पूर्ण समूहलाई अनुमति दिन्छ। VPN भित्रको स्थिर ठेगानामा अन्यत्र त्यही कमजोरी छ: यो सत्रसँग जोडिएको बाँडफाँट हो, हार्डवेयरको गुण होइन। स्वीकृत प्रमाण भएको कुनै पनि यन्त्रले त्यो सत्र खोल्न सक्छ। ठेगानालाई सञ्जाल सीमा मान्नुहोस् र त्यसै गरी वर्णन गर्नुहोस्।

त्यो जोखिम सीमित गर्न अझै उपयोगी छ, र त्यो यन्त्र प्रमाणीकरण होइन।

पहुँचलाई दर्ता गरिएको प्रमाणसँग बाँध्नुहोस्

यदि आवश्यकता यन्त्र सीमा हो भने, VPN ले समर्थन गर्ने प्रति-यन्त्र दर्ता प्रयोग गर्नुहोस् र प्रत्येक कम्प्युटरलाई फरक पहिचान दिनुहोस्।

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

भण्डार सूचीले प्रमाणपत्र र निजी कुञ्जी छ कि छैन देखाउँछ, र प्रमाणीकरणले श्रृंखला इच्छित एङ्करसम्म पुग्छ कि पुग्दैन देखाउँछ। प्रमाणपत्रले कन्फिगर गरिएको नीतिअनुसार स्वीकृत निजी कुञ्जीको स्वामित्व प्रमाणित गर्छ; त्यो कुञ्जी निर्यात र प्रतिलिपि गर्न सकिने बेला कुन भौतिक मेसिनसँग थियो भन्ने प्रमाणित गर्दैन। प्रोफाइललाई ल्यापटपको नाम दिनुले रहस्यलाई पहिले जत्तिकै सार्न सकिने राख्छ। जहाँ प्लेटफर्मले समर्थन गर्छ, त्यहाँ प्रमाणीकरण नीतिसहित हार्डवेयर-संरक्षित कुञ्जीले बलियो बन्धन दिन्छ, र प्रमाण कसले पाउन सक्छ भन्ने दर्ताले अझै निर्णय गर्नुपर्छ।

सीमा परीक्षण गर्नुहोस्, त्यसपछि हटाउने योजना बनाउनुहोस्

दुई अवस्थाको मूल्याङ्कन गर्नुहोस्: स्वीकृत ल्यापटप र प्रयोगकर्ता जडान हुनुपर्छ, र प्रयोगकर्ताको खाता मात्र भएको अर्को यन्त्र जडान हुनुहुँदैन। यदि डिजाइनले प्रयोगकर्ता र यन्त्र दुवैको जाँच आवश्यक ठान्छ भने, छानिएको विधिले दुवैलाई एउटै सत्रमा लागू गर्छ कि भनी प्रमाणित गर्नुहोस्, दुई स्वतन्त्र सेटिङ मिल्छन् भनी मान्नुको सट्टा।

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

रद्दले स्वीकृत यन्त्र पहिचान हटाउनुपर्छ, र सक्रिय सत्रको व्यवस्थापन आफ्नै परीक्षणको योग्य छ। TPM वा व्यवस्थित-यन्त्र झन्डा मेसिनको हरेक प्रक्रियाका लागि स्वच्छ स्वास्थ्य प्रमाणपत्र होइन।

सञ्जाल सीमा, यन्त्र प्रमाण र दर्ता निर्णयलाई तीन मालिकसहित तीन नियन्त्रणका रूपमा अभिलेख गर्नुहोस्। यसले सीमालाई समीक्षायोग्य बनाउँछ, र केवल एउटा ठेगानाले कहिल्यै दिन नसक्ने कुरा त्यही हो।