Zoznam povolených IP adries verzus schválený notebook: dve rôzne kontroly

Žiadosti o pravidlo, podľa ktorého sa smie pripojiť len schválený notebook, sa často končia ako záznam vo firewalle pre verejnú adresu kancelárie. Toto pravidlo teraz prepúšťa každé zariadenie za adresou. Požiadavka a implementácia nie sú to isté. Oddeľte, čo chce politika, od toho, čo adresa dokáže preukázať.

Tri otázky v jednej žiadosti o politiku

Rozdeľte žiadosť na tri časti: odkiaľ pripojenie prichádza, ktorú službu smie zasiahnuť a ktorý počítač predkladá prihlasovací údaj. Pravidlo zdrojovej adresy odpovedá na prvé, pravidlo cieľovej služby na druhé. Ani jedno neidentifikuje fyzický stroj, pretože obe pracujú so sieťovými poľami, ktoré zdieľa veľa zariadení. Tretie potrebuje údaj vydaný tomuto zariadeniu a nie je potichu opakovateľný.

Zapíšte tri odpovede oddelene. Jediný riadok vo firewalle nemôže splniť požiadavku, ktorá menuje tri.

Čo vám zdrojová adresa môže povedať

Preklad adries je obvyklý dôvod, prečo pravidlo sieťového pôvodu prepúšťa príliš veľa. Všetko za jedným výstupom kancelárie sa javí ako tá istá verejná adresa, takže pravidlo povolí celú skupinu. Pevná adresa vo vnútri VPN má rovnakú slabinu inde: je to priradenie viazané na reláciu, nie vlastnosť hardvéru. Akékoľvek zariadenie s prijatým údajom môže túto reláciu otvoriť. Berte adresu ako sieťové obmedzenie a tak ju aj opisujte.

To je stále užitočné na obmedzenie expozície a nie je to overovanie zariadenia.

Zviažte prístup s registrovaným údajom

Ak je požiadavkou obmedzenie zariadenia, použite VPN podporovanú registráciu pre každé zariadenie a dajte každému počítaču jedinečnú identitu.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Výpis úložiska ukazuje certifikát a či je prítomný súkromný kľúč, a overenie ukazuje, či reťaz vedie k zamýšľanej kotve. Certifikát preukazuje držanie prijatého súkromného kľúča podľa nastavenej politiky; nepreukazuje, ktorý fyzický stroj ho mal, keď sa tento kľúč dá exportovať a skopírovať. Pomenovanie profilu podľa notebooku ponecháva tajomstvo rovnako prenosné ako predtým. Kde to platforma podporuje, hardvérovo chránené kľúče s politikou atestácie dávajú silnejšie zviazanie a registrácia stále musí rozhodnúť, kto smie údaj dostať.

Otestujte hranicu, potom naplánujte odstránenie

Vyhodnoťte dva prípady: schválený notebook a používateľ sa majú pripojiť, iné zariadenie, ktoré má len používateľský účet, nie. Ak návrh vyžaduje kontrolu používateľa aj zariadenia, overte, že zvolená metóda obe vynucuje v tej istej relácii, namiesto toho, aby predpokladala, že sa dve nezávislé nastavenia kombinujú.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Odvolanie musí odstrániť prijatú identitu zariadenia a práca s aktívnymi reláciami si zaslúži vlastný test. TPM alebo príznak spravovaného zariadenia nie je čistý zdravotný preukaz pre každý proces na stroji.

Zaznamenajte sieťové obmedzenie, údaj zariadenia a rozhodnutie o registrácii ako tri kontroly s tromi vlastníkmi. To robí hranicu preskúmateľnou a to je niečo, čo samotná adresa nikdy nemôže poskytnúť.