IP lista dozvoljenih nasuprot odobrenom laptopu: dvije različite kontrole

Zahtjevi za pravilo da se smije povezati samo odobreni laptop često završe kao unos u firewallu za javnu adresu ureda. To pravilo sada propušta svaki uređaj iza te adrese. Zahtjev i implementacija nisu ista stvar. Odvojite što politika želi od onoga što adresa može dokazati.

Tri pitanja u jednom zahtjevu politike

Podijelite zahtjev na tri dijela: odakle veza dolazi, koju uslugu može dosegnuti i koji računar predstavlja vjerodajnicu. Pravilo izvorne adrese odgovara na prvo, a pravilo odredišne usluge na drugo. Nijedno ne identificira fizičku mašinu, jer oba rade na mrežnim poljima koja dijele mnogi uređaji. Treće traži vjerodajnicu izdanu tom uređaju i koja se ne može tiho ponovo koristiti.

Zapišite tri odgovora odvojeno. Jedan red u firewallu ne može zadovoljiti zahtjev koji imenuje tri.

Šta vam izvorna adresa može reći

Prevođenje adresa uobičajen je razlog zašto pravilo mrežnog porijekla propušta previše. Sve iza jednog izlaza ureda pojavljuje se kao ista javna adresa, pa pravilo odobrava cijelu grupu. Fiksna adresa unutar VPN-a ima istu slabost na drugom mjestu: to je dodjela vezana za sesiju, a ne svojstvo hardvera. Svaki uređaj s prihvaćenom vjerodajnicom može otvoriti tu sesiju. Tretirajte adresu kao mrežno ograničenje i tako je i opišite.

To je i dalje korisno za ograničavanje izloženosti i nije provjera identiteta uređaja.

Vežite pristup za upisanu vjerodajnicu

Ako je zahtjev ograničenje uređaja, koristite VPN-ov podržani upis po uređaju i dajte svakom računaru poseban identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Popis u spremištu pokazuje certifikat i postoji li privatni ključ, a provjera pokazuje vodi li lanac do predviđenog sidra. Certifikat dokazuje posjedovanje prihvaćenog privatnog ključa prema konfigurisanoj politici; ne dokazuje koja ga je fizička mašina imala kada se taj ključ može izvesti i kopirati. Imenovanje profila po laptopu ostavlja tajnu jednako prenosivom kao prije. Gdje platforma to podržava, hardverski zaštićeni ključevi s politikom atestacije daju jače vezivanje, a upis i dalje mora odlučiti ko smije dobiti vjerodajnicu.

Testirajte granicu, pa planirajte uklanjanje

Procijenite dva slučaja: odobreni laptop i korisnik treba da se povežu, a drugi uređaj koji ima samo korisnički račun ne treba. Ako dizajn traži i provjeru korisnika i provjeru uređaja, provjerite da odabrana metoda oboje provodi u istoj sesiji, umjesto da pretpostavlja da se dvije nezavisne postavke kombinuju.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Opoziv mora ukloniti prihvaćeni identitet uređaja, a rukovanje aktivnim sesijama zaslužuje vlastiti test. TPM ili oznaka upravljanog uređaja nije čista zdravstvena potvrda za svaki proces na mašini.

Zabilježite mrežno ograničenje, vjerodajnicu uređaja i odluku o upisu kao tri kontrole s tri vlasnika. To granicu čini provjerljivom i to je ono što sama adresa nikada ne može pružiti.