Listă de IP-uri permise sau laptop aprobat: două controale diferite

Cererile pentru o regulă care să permită conectarea doar laptopului aprobat se termină adesea ca o intrare în firewall pentru adresa publică a biroului. Acea regulă admite acum orice dispozitiv din spatele adresei. Cerința și implementarea nu sunt același lucru. Separați ce vrea politica de ce poate dovedi adresa.

Trei întrebări într-o singură cerere de politică

Împărțiți cererea în trei părți: de unde vine conexiunea, ce serviciu poate atinge și ce computer prezintă acreditarea. O regulă de adresă sursă răspunde primei, iar o regulă de serviciu destinație celei de-a doua. Niciuna nu identifică mașina fizică, deoarece ambele operează pe câmpuri de rețea partajate de multe dispozitive. A treia are nevoie de o acreditare emisă pentru acel dispozitiv și care nu poate fi refolosită în tăcere.

Scrieți cele trei răspunsuri separat. O singură linie de firewall nu poate satisface o cerință care numește trei.

Ce vă poate spune adresa sursă

Traducerea adreselor este motivul obișnuit pentru care o regulă de origine de rețea admite prea mult. Tot ce se află în spatele unei ieșiri a biroului apare ca aceeași adresă publică, așa că regula acordă acces întregului grup. O adresă fixă în interiorul VPN are aceeași slăbiciune în altă parte: este o alocare legată de o sesiune, nu o proprietate a hardware-ului. Orice dispozitiv cu o acreditare acceptată poate deschide acea sesiune. Tratați adresa ca o restricție de rețea și descrieți-o astfel.

Aceasta rămâne utilă pentru limitarea expunerii și nu este autentificare de dispozitiv.

Legați accesul de o acreditare înregistrată

Dacă cerința este restricția de dispozitiv, folosiți înregistrarea pe dispozitiv acceptată de VPN și dați fiecărui computer o identitate distinctă.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lista din magazie arată certificatul și dacă există o cheie privată, iar verificarea arată dacă lanțul duce la ancora prevăzută. Un certificat dovedește deținerea cheii private acceptate conform politicii configurate; nu dovedește ce mașină fizică o avea atunci când acea cheie poate fi exportată și copiată. Numele profilului după laptop lasă secretul exact la fel de portabil ca înainte. Unde platforma permite, cheile protejate de hardware cu o politică de atestare oferă o legătură mai puternică, iar înregistrarea trebuie să decidă în continuare cine poate primi acreditarea.

Testați limita, apoi planificați eliminarea

Evaluați două cazuri: laptopul aprobat și utilizatorul trebuie să se conecteze, iar un alt dispozitiv care are doar contul utilizatorului nu trebuie. Dacă proiectarea cere atât o verificare a utilizatorului, cât și una a dispozitivului, verificați că metoda aleasă le impune pe ambele în aceeași sesiune, în loc să presupună că două setări independente se combină.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Revocarea trebuie să elimine identitatea acceptată a dispozitivului, iar tratarea sesiunilor active merită propriul test. Un TPM sau un indicator de dispozitiv gestionat nu este un certificat curat de sănătate pentru fiecare proces de pe mașină.

Înregistrați restricția de rețea, acreditarea dispozitivului și decizia de înregistrare ca trei controale cu trei proprietari. Asta face limita verificabilă și este ceea ce o adresă singură nu poate oferi niciodată.