Lista dozwolonych adresów IP a zatwierdzony laptop: dwie różne kontrole

Prośby o regułę, która pozwala łączyć się tylko zatwierdzonemu laptopowi, często kończą się wpisem w zaporze dla publicznego adresu biura. Ta reguła przepuszcza teraz każde urządzenie za tym adresem. Wymóg i implementacja to nie to samo. Oddziel to, czego chce polityka, od tego, co może udowodnić adres.

Trzy pytania w jednym wniosku o politykę

Podziel wniosek na trzy części: skąd pochodzi połączenie, do jakiej usługi może dotrzeć i który komputer przedstawia poświadczenie. Reguła adresu źródłowego odpowiada na pierwsze, a reguła usługi docelowej na drugie. Żadna z nich nie identyfikuje fizycznej maszyny, ponieważ obie działają na polach sieciowych współdzielonych przez wiele urządzeń. Trzecia wymaga poświadczenia wydanego temu urządzeniu i niemożliwego do cichego ponownego użycia.

Zapisz trzy odpowiedzi osobno. Jedna linia zapory nie zaspokoi wymogu, który wymienia trzy.

Co może powiedzieć adres źródłowy

Tłumaczenie adresów to zwykły powód, dla którego reguła pochodzenia sieciowego przepuszcza zbyt wiele. Wszystko za jednym wyjściem biurowym wygląda jak ten sam publiczny adres, więc reguła daje dostęp całej grupie. Stały adres wewnątrz VPN ma tę samą słabość gdzie indziej: to przypisanie związane z sesją, a nie właściwość sprzętu. Każde urządzenie z zaakceptowanym poświadczeniem może otworzyć tę sesję. Traktuj adres jako ograniczenie sieciowe i tak go opisuj.

To nadal jest przydatne do ograniczania ekspozycji i nie jest uwierzytelnianiem urządzenia.

Powiąż dostęp z zarejestrowanym poświadczeniem

Jeśli wymogiem jest ograniczenie urządzenia, użyj obsługiwanej przez VPN rejestracji na urządzenie i nadaj każdemu komputerowi odrębną tożsamość.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lista magazynu pokazuje certyfikat i to, czy jest obecny klucz prywatny, a weryfikacja pokazuje, czy łańcuch prowadzi do zamierzonej kotwicy. Certyfikat dowodzi posiadania zaakceptowanego klucza prywatnego zgodnie ze skonfigurowaną polityką; nie dowodzi, która fizyczna maszyna go miała, gdy ten klucz można wyeksportować i skopiować. Nazwanie profilu imieniem laptopa pozostawia sekret tak samo przenośnym jak wcześniej. Tam, gdzie platforma to obsługuje, klucze chronione sprzętowo z polityką atestacji dają silniejsze powiązanie, a rejestracja nadal musi zdecydować, kto może otrzymać poświadczenie.

Przetestuj granicę, a potem zaplanuj usunięcie

Oceń dwa przypadki: zatwierdzony laptop i użytkownik powinni się połączyć, a inne urządzenie mające tylko konto użytkownika nie powinno. Jeśli projekt wymaga zarówno sprawdzenia użytkownika, jak i urządzenia, zweryfikuj, czy wybrana metoda egzekwuje oba w tej samej sesji, zamiast zakładać, że dwie niezależne konfiguracje się łączą.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Odwołanie musi usunąć zaakceptowaną tożsamość urządzenia, a obsługa aktywnych sesji zasługuje na własny test. TPM lub znacznik urządzenia zarządzanego nie jest czystym zaświadczeniem zdrowia dla każdego procesu na maszynie.

Zapisz ograniczenie sieciowe, poświadczenie urządzenia i decyzję o rejestracji jako trzy kontrole z trzema właścicielami. To czyni granicę weryfikowalną i właśnie tego sam adres nigdy nie może zapewnić.