รายการ IP ที่อนุญาตกับแล็ปท็อปที่อนุมัติ: การควบคุมที่แตกต่างกันสองแบบ

คำขอให้มีกฎที่อนุญาตเฉพาะแล็ปท็อปที่อนุมัติให้เชื่อมต่อ มักจบลงด้วยการเป็นรายการไฟร์วอลล์สำหรับที่อยู่สาธารณะของสำนักงาน กฎนั้นตอนนี้อนุญาตทุกอุปกรณ์ที่อยู่หลังที่อยู่ ข้อกำหนดกับการนำไปใช้ไม่ใช่สิ่งเดียวกัน แยกความต้องการของนโยบายออกจากสิ่งที่ที่อยู่พิสูจน์ได้

สามคำถามในคำขอเชิงนโยบายเดียว

แบ่งคำขอเป็นสามส่วน: การเชื่อมต่อมาจากไหน เข้าถึงบริการใดได้ และเครื่องใดเป็นผู้นำเสนอข้อมูลรับรอง กฎที่อยู่ต้นทางตอบข้อแรก และกฎบริการปลายทางตอบข้อที่สอง ทั้งสองไม่ได้ระบุเครื่องจริง เพราะทั้งคู่ทำงานบนฟิลด์เครือข่ายที่อุปกรณ์หลายเครื่องใช้ร่วมกัน ข้อที่สามต้องมีข้อมูลรับรองที่ออกให้อุปกรณ์นั้นและไม่สามารถนำกลับมาใช้ซ้ำอย่างเงียบ ๆ ได้

เขียนคำตอบทั้งสามแยกกัน บรรทัดไฟร์วอลล์เพียงบรรทัดเดียวไม่อาจตอบสนองข้อกำหนดที่ระบุสามอย่างได้

ที่อยู่ต้นทางบอกอะไรคุณได้

การแปลที่อยู่เป็นเหตุผลปกติที่กฎต้นทางเครือข่ายอนุญาตมากเกินไป ทุกอย่างที่อยู่หลังทางออกสำนักงานหนึ่งทางปรากฏเป็นที่อยู่สาธารณะเดียวกัน กฎจึงให้สิทธิ์ทั้งกลุ่ม ที่อยู่คงที่ภายใน VPN มีจุดอ่อนแบบเดียวกันในที่อื่น คือเป็นการกำหนดที่ผูกกับเซสชัน ไม่ใช่คุณสมบัติของฮาร์ดแวร์ อุปกรณ์ใดก็ตามที่มีข้อมูลรับรองที่ยอมรับสามารถเปิดเซสชันนั้นได้ มองที่อยู่เป็นการจำกัดเครือข่ายและอธิบายเช่นนั้น

นั่นยังมีประโยชน์ในการจำกัดการเปิดเผย และไม่ใช่การพิสูจน์ตัวตนของอุปกรณ์

ผูกการเข้าถึงกับข้อมูลรับรองที่ลงทะเบียน

หากข้อกำหนดคือการจำกัดอุปกรณ์ ให้ใช้การลงทะเบียนต่ออุปกรณ์ที่ VPN รองรับและให้แต่ละเครื่องมีตัวตนที่แตกต่างกัน

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

รายการในที่จัดเก็บแสดงใบรับรองและมีคีย์ส่วนตัวหรือไม่ และการตรวจสอบแสดงว่าห่วงโซ่ไปถึงจุดยึดที่ตั้งใจหรือไม่ ใบรับรองพิสูจน์การถือคีย์ส่วนตัวที่ยอมรับภายใต้นโยบายที่กำหนดไว้ แต่ไม่ได้พิสูจน์ว่าเครื่องจริงใดถือคีย์นั้นเมื่อคีย์นั้นสามารถส่งออกและคัดลอกได้ การตั้งชื่อโปรไฟล์ตามแล็ปท็อปทำให้ความลับเคลื่อนย้ายได้เหมือนเดิม ที่แพลตฟอร์มรองรับ คีย์ที่ป้องกันด้วยฮาร์ดแวร์พร้อมนโยบายการรับรองให้การผูกที่แข็งแรงกว่า และการลงทะเบียนยังต้องตัดสินว่าใครได้รับข้อมูลรับรองได้

ทดสอบขอบเขต แล้ววางแผนการถอน

ประเมินสองกรณี: แล็ปท็อปที่อนุมัติและผู้ใช้ควรเชื่อมต่อได้ และอุปกรณ์อื่นที่มีเพียงบัญชีผู้ใช้ไม่ควรเชื่อมต่อ หากการออกแบบต้องตรวจทั้งผู้ใช้และอุปกรณ์ ให้ตรวจสอบว่าวิธีที่เลือกบังคับทั้งสองอย่างในเซสชันเดียวกัน แทนที่จะ สมมติว่าการตั้งค่าอิสระสองอย่างรวมกัน

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

การเพิกถอนต้องลบตัวตนอุปกรณ์ที่ยอมรับ และการจัดการเซสชันที่ใช้งานอยู่ควรมีการทดสอบของตัวเอง TPM หรือธงอุปกรณ์ที่จัดการไม่ใช่หนังสือรับรองสุขภาพที่สะอาดสำหรับทุกโพรเซสบนเครื่อง

บันทึกการจำกัดเครือข่าย ข้อมูลรับรองอุปกรณ์ และการตัดสินใจลงทะเบียนเป็นสามการควบคุมที่มีเจ้าของสามคน สิ่งนี้ทำให้ขอบเขตตรวจสอบได้ และเป็นสิ่งที่ที่อยู่เพียงอย่างเดียวไม่สามารถให้ได้เลย