IP-tillatingsliste kontra godkjend berbar PC: to ulike kontrollar

Førespurnader om ein regel der berre den godkjende berbare PC-en får kopie til, endar ofte som ein brannmurpost for den offentlege adressa til kontoret. Den regelen slepper no inn alle einingar bak adressa. Kravet og implementasjonen er ikkje det same. Skil det retningslinja vil, frå det adressa kan prove.

Tre spørsmål i éin retningslinjeførespurnad

Del førespurnaden i tre delar: kvar tilkoplinga kjem frå, kva teneste ho kan nå, og kva datamaskin som viser legitimasjonen. Ein kjeldadresseregel svarar på det første, og ein destinasjonstenesteregel på det andre. Ingen av dei identifiserer den fysiske maskina, fordi begge arbeider på nettverksfelt som mange einingar deler. Det tredje treng ein legitimasjon som er utstedt til den eininga og ikkje kan brukast på nytt i det stille.

Skriv dei tre svara ned kvar for seg. Éi brannmurlinje kan ikkje oppfylle eit krav som nemner tre.

Kva kjeldadressa kan fortelje deg

Adresseomsetjing er den vanlege grunnen til at ein nettverksopphavsregel slepper inn for mykje. Alt bak éin kontorutgang viser seg som den same offentlege adressa, så regelen gir heile gruppa tilgang. Ei fast adresse inne i VPN-en har same svakheita ein annan stad: det er ei tildeling knytt til ein sesjon, ikkje ein eigenskap ved maskinvara. Kvar eining med ein godteken legitimasjon kan opne den sesjonen. Handsame adressa som ei nettverksavgrensing og skildre henne slik.

Det er framleis nyttig for å avgrense eksponering, og det er ikkje einingautentisering.

Bind tilgang til ein tilmeld legitimasjon

Viss kravet er avgrensing av einingar, bruk den VPN-støtta tilmeldinga per eining og gi kvar datamaskin ein eigen identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lagarlista viser sertifikatet og om det finst ein privat nøkkel, og verifiseringa viser om kjeda fører til det tiltenkte ankeret. Eit sertifikat provar eigarskap til den godtekne private nøkkelen under den konfigurerte retningslinja; det provar ikkje kva fysisk maskin som hadde han når nøkkelen kan eksporterast og kopierast. Å namngi profilen etter den berbare PC-en lèt hemmelegheita vere like flyttbar som før. Der plattforma støttar det, gir maskinvareverna nøklar med ein attestasjonspolitikk ei sterkare binding, og tilmeldinga må framleis avgjere kven som kan motta legitimasjonen.

Test grensa, planlegg deretter fjerninga

Vurder to tilfelle: den godkjende berbare PC-en og brukaren skal kunne kopie til, og ei anna eining med berre kontoen til brukaren skal ikkje. Viss designet krev både ein brukar- og ein einingkontroll, må du verifisere at metoden som er vald, handhevar begge i same sesjon i staden for å anta at to uavhengige innstillingar blir kombinerte.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Tilbakekalling må fjerne den godtekne einingidentiteten, og handsaming av aktive sesjonar fortener sin eigen test. Ein TPM eller eit flagg for styrt eining er ikkje ein rein helseattest for kvar prosess på maskina.

Registrer nettverksavgrensinga, legitimasjonen til eininga og tilmeldingsavgjerda som tre kontrollar med tre eigarar. Det gjer grensa reviderbar, og det er det ei adresse åleine aldri kan levere.