Seznam dovoljenih IP nasproti odobrenemu prenosniku: dva različna nadzora

Zahteve za pravilo, da se sme povezati le odobreni prenosnik, se pogosto končajo kot vnos v požarnem zidu za javni naslov pisarne. To pravilo zdaj spusti vsako napravo za naslovom. Zahteva in izvedba nista isto. Ločite, kaj hoče politika, od tega, kaj lahko naslov dokaže.

Tri vprašanja v eni zahtevi za politiko

Zahtevo razdelite na tri dele: od kod prihaja povezava, katero storitev lahko doseže in kateri računalnik predloži poverilnico. Pravilo izvornega naslova odgovori na prvo, pravilo ciljne storitve pa na drugo. Nobeno ne prepozna fizičnega stroja, ker oba delujeta na omrežnih poljih, ki si jih deli veliko naprav. Tretje potrebuje poverilnico, izdano tej napravi in ki je ni mogoče tiho ponovno uporabiti.

Zapišite tri odgovore ločeno. Ena vrstica požarnega zidu ne more izpolniti zahteve, ki navaja tri.

Kaj vam lahko pove izvorni naslov

Prevajanje naslovov je običajen razlog, da pravilo omrežnega izvora spusti preveč. Vse za enim pisarniškim izhodom se prikaže kot isti javni naslov, zato pravilo dovoli celotni skupini. Fiksni naslov znotraj VPN ima enako slabost drugje: je dodelitev, vezana na sejo, ne lastnost strojne opreme. Vsaka naprava s sprejeto poverilnico lahko odpre to sejo. Naslov obravnavajte kot omrežno omejitev in ga tako tudi opišite.

To je še vedno uporabno za omejevanje izpostavljenosti in ni preverjanje naprave.

Povežite dostop z vpisano poverilnico

Če je zahteva omejitev naprave, uporabite vpis po napravi, ki ga podpira VPN, in vsakemu računalniku dajte ločeno identiteto.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Seznam v shrambi prikaže potrdilo in ali je zasebni ključ prisoten, preverjanje pa pokaže, ali veriga vodi do predvidenega sidra. Potrdilo dokazuje posedovanje sprejetega zasebnega ključa po nastavljeni politiki; ne dokazuje, kateri fizični stroj ga je imel, ko je ta ključ mogoče izvoziti in kopirati. Poimenovanje profila po prenosniku pusti skrivnost prav tako prenosljivo kot prej. Kjer platforma to podpira, strojno zaščiteni ključi s politiko atestacije dajo močnejšo vez, vpis pa mora še vedno odločiti, kdo lahko prejme poverilnico.

Preizkusite mejo, nato načrtujte odstranitev

Ocenite dva primera: odobreni prenosnik in uporabnik se morata povezati, druga naprava, ki ima le uporabniški račun, pa ne. Če zasnova zahteva preverjanje uporabnika in naprave, preverite, ali izbrana metoda oboje uveljavi v isti seji, namesto da predpostavlja, da se dve neodvisni nastavitvi združita.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Preklic mora odstraniti sprejeto identiteto naprave, obravnava aktivnih sej pa si zasluži lasten preizkus. TPM ali oznaka upravljane naprave ni čisto zdravniško potrdilo za vsak proces na stroju.

Zabeležite omrežno omejitev, poverilnico naprave in odločitev o vpisu kot tri nadzore s tremi lastniki. To naredi mejo pregledno in to je tisto, česar sam naslov nikoli ne more zagotoviti.