Allowlist ng IP laban sa aprubadong laptop: dalawang magkaibang kontrol

Ang mga kahilingan para sa panuntunang tanging aprubadong laptop lang ang maaaring kumonekta ay madalas nauuwi bilang firewall entry para sa pampublikong address ng opisina. Ang panuntunang iyon ay tumatanggap na ngayon ng bawat device sa likod ng address. Ang pangangailangan at ang pagpapatupad ay hindi magkapareho. Paghiwalayin ang gusto ng patakaran sa kayang patunayan ng address.

Tatlong tanong sa isang kahilingang patakaran

Hatiin ang kahilingan sa tatlong bahagi: saan galing ang koneksyon, aling serbisyo ang maaaring maabot, at aling computer ang nagpapakita ng kredensyal. Ang panuntunan sa source address ay sumasagot sa una, at ang panuntunan sa destinasyong serbisyo sa pangalawa. Wala sa dalawa ang tumutukoy sa pisikal na makina, dahil pareho silang gumagana sa mga field ng network na pinagsasaluhan ng maraming device. Ang pangatlo ay nangangailangan ng kredensyal na inilabas para sa device na iyon at hindi maaaring gamitin muli nang tahimik.

Isulat nang hiwalay ang tatlong sagot. Hindi kayang tuparin ng isang linya ng firewall ang pangangailangang nagbanggit ng tatlo.

Ano ang masasabi ng source address

Ang pagsasalin ng address ang karaniwang dahilan kung bakit nagbibigay ng labis ang panuntunan sa pinagmulan ng network. Lumilitaw ang lahat sa likod ng isang labasan ng opisina bilang parehong pampublikong address, kaya binibigyan ng panuntunan ang buong grupo. Ang fixed address sa loob ng VPN ay may parehong kahinaan sa ibang lugar: ito ay pagtatalaga na nakatali sa isang session, hindi katangian ng hardware. Anumang device na may tinatanggap na kredensyal ay maaaring magbukas ng session na iyon. Ituring ang address bilang paghihigpit sa network at ilarawan ito nang ganoon.

Nakakatulong pa rin iyon sa paglimita ng pagkakalantad, at hindi iyon authentication ng device.

Itali ang access sa isang nakatalang kredensyal

Kung ang pangangailangan ay paghihigpit sa device, gamitin ang per-device na pagpapatala na sinusuportahan ng VPN at bigyan ang bawat computer ng natatanging pagkakakilanlan.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Ipinapakita ng listahan sa imbakan ang certificate at kung may pribadong key, at ipinapakita ng verification kung patungo ang chain sa nilalayong anchor. Pinatutunayan ng certificate ang paghawak sa tinatanggap na pribadong key sa ilalim ng na-configure na patakaran; hindi nito pinatutunayan kung aling pisikal na makina ang mayroon nito noong maaaring i-export at kopyahin ang key. Ang pagpangalan sa profile ayon sa laptop ay iniiwan ang lihim na kasing-dalhin gaya ng dati. Kung saan sinusuportahan ng platform, ang mga key na protektado ng hardware na may attestation policy ay nagbibigay ng mas matibay na ugnayan, at kailangan pa ring magpasya ng pagpapatala kung sino ang maaaring makatanggap ng kredensyal.

Subukan ang hangganan, pagkatapos planuhin ang pagtanggal

Suriin ang dalawang kaso: dapat kumonekta ang aprubadong laptop at user, at hindi dapat ang ibang device na may account lang ng user. Kung kailangan ng disenyo ang pagsusuri ng user at device, tiyakin na ipinapatupad ng piniling paraan ang dalawa sa iisang session sa halip na ipagpalagay na nagsasama ang dalawang independiyenteng setting.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Dapat alisin ng pagpapawalang-bisa ang tinatanggap na pagkakakilanlan ng device, at ang paghawak sa mga aktibong session ay karapat-dapat sa sariling pagsubok. Ang TPM o flag ng pinamamahalaang device ay hindi malinis na katibayan ng kalusugan para sa bawat proseso sa makina.

Itala ang paghihigpit sa network, ang kredensyal ng device at ang desisyon sa pagpapatala bilang tatlong kontrol na may tatlong may-ari. Ginagawa nitong masusuri ang hangganan, at iyon ang hindi kailanman maibibigay ng address nang mag-isa.