Orodha ya IP zinazoruhusiwa dhidi ya kompyuta mpakato iliyoidhinishwa: udhibiti mbili tofauti

Maombi ya sheria inayoruhusu kompyuta mpakato iliyoidhinishwa pekee kuunganisha mara nyingi huishia kama ingizo la firewall kwa anwani ya umma ya ofisi. Sheria hiyo sasa inakubali kila kifaa kilicho nyuma ya anwani. Sharti na utekelezaji si kitu kimoja. Tenganisha kile sera inachotaka na kile anwani inaweza kuthibitisha.

Maswali matatu katika ombi moja la sera

Gawanya ombi katika sehemu tatu: muunganisho unatoka wapi, huduma gani inaweza kufikia, na kompyuta gani inawasilisha hati. Sheria ya anwani ya chanzo hujibu la kwanza, na sheria ya huduma ya lengwa hujibu la pili. Hakuna hata moja inayotambua mashine halisi, kwa sababu zote mbili hufanya kazi kwenye sehemu za mtandao ambazo vifaa vingi hushiriki. La tatu linahitaji hati iliyotolewa kwa kifaa hicho na isiyoweza kutumika tena kwa kimya.

Andika majibu matatu kwa mbalimbali. Mstari mmoja wa firewall hauwezi kutimiza sharti linalotaja matatu.

Anwani ya chanzo inaweza kukuambia nini

Ubadilishaji wa anwani ndiyo sababu ya kawaida kwa sheria ya chanzo cha mtandao kuruhusu zaidi. Kila kitu kilicho nyuma ya tokeo moja la ofisi huonekana kama anwani moja ya umma, kwa hiyo sheria inaruhusu kundi lote. Anwani isiyobadilika ndani ya VPN ina udhaifu huo huo mahali pengine: ni ugawaji unaofungamanishwa na kipindi, si sifa ya maunzi. Kifaa chochote kilicho na hati iliyokubaliwa kinaweza kufungua kipindi hicho. Chukulia anwani kama kizuizi cha mtandao na uieleze hivyo.

Hilo bado ni muhimu kwa kupunguza uwezekano wa kufichuliwa, na si uthibitishaji wa kifaa.

Fungamanisha ufikiaji na hati iliyosajiliwa

Ikiwa sharti ni kizuizi cha kifaa, tumia usajili kwa kila kifaa unaoungwa mkono na VPN na upe kila kompyuta utambulisho tofauti.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Orodha ya ghala inaonyesha cheti na kama ufunguo wa faragha upo, na uthibitishaji unaonyesha kama mnyororo unaelekea kwenye nanga iliyokusudiwa. Cheti huthibitisha umiliki wa ufunguo wa faragha uliokubaliwa chini ya sera iliyowekwa; huthibitishi mashine halisi ilikuwa nao wakati ufunguo huo unaweza kusafirishwa na kunakiliwa. Kuita wasifu kwa jina la kompyuta mpakato kunaacha siri iweze kubebeka kama awali. Pale jukwaa linapowezesha, funguo zinazolindwa na maunzi zenye sera ya uthibitisho hutoa kifungo kikali zaidi, na usajili bado unapaswa kuamua nani anaweza kupokea hati.

Jaribu mpaka, kisha panga kuondoa

Tathmini hali mbili: kompyuta mpakato iliyoidhinishwa na mtumiaji wanapaswa kuunganisha, na kifaa kingine chenye akaunti ya mtumiaji pekee hakipaswi. Ikiwa muundo unahitaji ukaguzi wa mtumiaji na wa kifaa, thibitisha kwamba mbinu iliyochaguliwa inatekeleza vyote viwili katika kipindi kimoja badala ya kudhani kwamba mipangilio miwili huru inaungana.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Kubatilisha kunapaswa kuondoa utambulisho wa kifaa uliokubaliwa, na utunzaji wa vipindi vinavyotumika unastahili jaribio lake. TPM au alama ya kifaa kinachosimamiwa si cheti safi cha afya kwa kila mchakato kwenye mashine.

Rekodi kizuizi cha mtandao, hati ya kifaa na uamuzi wa usajili kama udhibiti tatu wenye wamiliki watatu. Hilo hufanya mpaka uweze kukaguliwa, na ndilo ambalo anwani pekee haiwezi kutoa kamwe.