IP-allowlist versus goedgekeurde laptop: twee verschillende controles

Verzoeken om een regel waarbij alleen de goedgekeurde laptop mag verbinden, eindigen vaak als een firewallregel voor het openbare adres van het kantoor. Die regel laat nu elk apparaat achter het adres toe. De eis en de implementatie zijn niet hetzelfde. Scheid wat het beleid wil van wat het adres kan bewijzen.

Drie vragen in één beleidsverzoek

Splits het verzoek in drie delen: waar de verbinding vandaan komt, welke dienst hij mag bereiken en welke computer de referentie presenteert. Een regel voor het bronadres beantwoordt het eerste, en een regel voor de doeldienst het tweede. Geen van beide identificeert de fysieke machine, omdat beide werken op netwerkvelden die veel apparaten delen. Het derde vereist een referentie die aan dat apparaat is uitgegeven en niet stilzwijgend hergebruikt kan worden.

Schrijf de drie antwoorden apart op. Eén firewallregel kan niet voldoen aan een eis die er drie noemt.

Wat het bronadres je kan vertellen

Adresvertaling is de gebruikelijke reden dat een netwerkherkomstregel te veel toelaat. Alles achter één kantooruitgang verschijnt als hetzelfde openbare adres, dus de regel verleent de hele groep toegang. Een vast adres binnen de VPN heeft dezelfde zwakte elders: het is een toewijzing die aan een sessie hangt, geen eigenschap van hardware. Elk apparaat met een geaccepteerde referentie kan die sessie openen. Behandel het adres als een netwerkbeperking en beschrijf het zo.

Dat is nog steeds nuttig om blootstelling te beperken, en het is geen apparaatauthenticatie.

Bind toegang aan een ingeschreven referentie

Als de eis een apparaatbeperking is, gebruik dan de door de VPN ondersteunde inschrijving per apparaat en geef elke computer een afzonderlijke identiteit.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

De opslaglijst toont het certificaat en of er een privésleutel aanwezig is, en de verificatie toont of de keten naar het bedoelde anker leidt. Een certificaat bewijst het bezit van de geaccepteerde privésleutel onder het geconfigureerde beleid; het bewijst niet welke fysieke machine die had wanneer die sleutel kan worden geëxporteerd en gekopieerd. Het profiel naar de laptop noemen laat het geheim precies zo overdraagbaar als voorheen. Waar het platform het ondersteunt, geven hardwarematig beschermde sleutels met een attestatiebeleid een sterkere binding, en inschrijving moet nog steeds beslissen wie de referentie mag ontvangen.

Test de grens en plan daarna de verwijdering

Evalueer twee gevallen: de goedgekeurde laptop en de gebruiker moeten verbinden, en een ander apparaat met alleen het account van de gebruiker niet. Als het ontwerp zowel een gebruikers- als een apparaatcontrole vereist, verifieer dan dat de gekozen methode beide in dezelfde sessie afdwingt in plaats van aan te nemen dat twee onafhankelijke instellingen zich combineren.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Intrekking moet de geaccepteerde apparaatidentiteit verwijderen, en de omgang met actieve sessies verdient een eigen test. Een TPM of een markering voor een beheerd apparaat is geen schoon gezondheidscertificaat voor elk proces op de machine.

Leg de netwerkbeperking, de apparaatreferentie en de inschrijvingsbeslissing vast als drie controles met drie eigenaren. Dat maakt de grens controleerbaar, en dat is wat een adres alleen nooit kan bieden.