Списак дозвољених IP адреса наспрам одобреног лаптопа: две различите контроле

Захтеви за правило да се сме повезати само одобрени лаптоп често заврше као унос у заштитном зиду за јавну адресу канцеларије. То правило сада пропушта сваки уређај иза те адресе. Захтев и примена нису иста ствар. Одвојите шта политика жели од онога што адреса може да докаже.

Три питања у једном захтеву политике

Поделите захтев на три дела: одакле веза долази, коју услугу може да достигне и који рачунар представља акредитив. Правило изворне адресе одговара на прво, а правило одредишне услуге на друго. Ниједно не идентификује физичку машину, јер оба раде на мрежним пољима која деле многи уређаји. Треће тражи акредитив издат том уређају и који не може тихо поново да се употреби.

Запишите три одговора одвојено. Један ред у заштитном зиду не може да задовољи захтев који именује три.

Шта вам изворна адреса може рећи

Превођење адреса је уобичајен разлог зашто правило мрежног порекла пропушта превише. Све иза једног излаза канцеларије појављује се као иста јавна адреса, па правило одобрава целој групи. Фиксна адреса унутар VPN-а има исту слабост на другом месту: то је додела везана за сесију, а не својство хардвера. Сваки уређај са прихваћеним акредитивом може да отвори ту сесију. Третирајте адресу као мрежно ограничење и тако је опишите.

То је и даље корисно за ограничавање изложености и није провера идентитета уређаја.

Вежите приступ за уписани акредитив

Ако је захтев ограничење уређаја, користите VPN-ов подржани упис по уређају и дајте сваком рачунару посебан идентитет.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Списак у складишту показује сертификат и постоји ли приватни кључ, а провера показује води ли ланац до предвиђеног сидра. Сертификат доказује поседовање прихваћеног приватног кључа према конфигурисаној политици; не доказује која га је физичка машина имала када се тај кључ може извести и копирати. Именовање профила по лаптопу оставља тајну једнако преносивом као пре. Где платформа то подржава, хардверски заштићени кључеви са политиком атестације дају јаче везивање, а упис и даље мора да одлучи коме се сме издати акредитив.

Испитајте границу, затим планирајте уклањање

Процените два случаја: одобрени лаптоп и корисник треба да се повежу, а други уређај који има само кориснички налог не треба. Ако дизајн тражи и проверу корисника и проверу уређаја, проверите да изабрани метод оба спроводи у истој сесији уместо да претпоставља да се две независне поставке комбинују.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Опозив мора да уклони прихваћени идентитет уређаја, а руковање активним сесијама заслужује сопствени тест. TPM или ознака управљаног уређаја није чиста здравствена потврда за сваки процес на машини.

Забележите мрежно ограничење, акредитив уређаја и одлуку о упису као три контроле са три власника. То чини границу проверљивом и то је оно што сама адреса никада не може да пружи.