IP-tillåtelselista kontra godkänd bärbar dator: två olika kontroller

Förfrågningar om en regel där bara den godkända bärbara datorn får ansluta slutar ofta som en brandväggspost för kontorets offentliga adress. Den regeln släpper nu in varje enhet bakom adressen. Kravet och implementeringen är inte samma sak. Skilj på vad policyn vill och vad adressen kan bevisa.

Tre frågor i en och samma policyförfrågan

Dela upp förfrågan i tre delar: varifrån anslutningen kommer, vilken tjänst den får nå och vilken dator som visar legitimationen. En källadressregel svarar på det första och en måltjänstregel på det andra. Ingen av dem identifierar den fysiska maskinen, eftersom båda arbetar på nätverksfält som många enheter delar. Det tredje kräver en legitimation som utfärdats till den enheten och som inte kan återanvändas i tysthet.

Skriv ned de tre svaren var för sig. En enda brandväggsrad kan inte uppfylla ett krav som nämner tre.

Vad källadressen kan berätta för dig

Adressöversättning är det vanliga skälet till att en nätverksursprungsregel släpper in för mycket. Allt bakom en kontorsutgång visas som samma offentliga adress, så regeln ger hela gruppen åtkomst. En fast adress inne i VPN har samma svaghet någon annanstans: det är en tilldelning knuten till en session, inte en egenskap hos hårdvaran. Varje enhet med en accepterad legitimation kan öppna den sessionen. Behandla adressen som en nätverksbegränsning och beskriv den så.

Det är fortfarande användbart för att begränsa exponeringen, och det är inte enhetsautentisering.

Bind åtkomst till en registrerad legitimation

Om kravet är en enhetsbegränsning, använd VPN:ets stödda registrering per enhet och ge varje dator en egen identitet.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Lagerlistan visar certifikatet och om det finns en privat nyckel, och verifieringen visar om kedjan leder till det avsedda ankaret. Ett certifikat bevisar innehav av den accepterade privata nyckeln enligt den konfigurerade policyn; det bevisar inte vilken fysisk maskin som hade den när nyckeln kan exporteras och kopieras. Att namnge profilen efter den bärbara datorn lämnar hemligheten precis lika flyttbar som förut. Där plattformen stöder det ger hårdvaruskyddade nycklar med en attestationspolicy en starkare bindning, och registreringen måste fortfarande avgöra vem som får ta emot legitimationen.

Testa gränsen och planera sedan borttagningen

Utvärdera två fall: den godkända bärbara datorn och användaren ska kunna ansluta, och en annan enhet med bara användarens konto ska inte. Om designen kräver både en användar- och enhetskontroll, verifiera att den valda metoden tillämpar båda i samma session i stället för att anta att två oberoende inställningar kombineras.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Återkallelse måste ta bort den accepterade enhetsidentiteten, och hantering av aktiva sessioner förtjänar ett eget test. En TPM eller en flagga för hanterad enhet är inte ett rent hälsocertifikat för varje process på maskinen.

Registrera nätverksbegränsningen, enhetens legitimation och registreringsbeslutet som tre kontroller med tre ägare. Det gör gränsen granskningsbar, och det är vad en adress ensam aldrig kan erbjuda.