IP izin listesi ile onaylı dizüstü bilgisayar: iki farklı kontrol

Yalnızca onaylı dizüstü bilgisayarın bağlanmasına izin veren bir kural talebi çoğu zaman ofisin genel adresi için bir güvenlik duvarı kaydı olarak sonuçlanır. Bu kural artık adresin arkasındaki her cihazı kabul ediyor. Gereksinim ile uygulama aynı şey değildir. Politikanın istediğini adresin kanıtlayabileceğinden ayırın.

Tek bir politika talebinde üç soru

Talebi üç parçaya ayırın: bağlantının nereden geldiği, hangi hizmete ulaşabileceği ve hangi bilgisayarın kimlik bilgisini sunduğu. Kaynak adres kuralı birinciyi, hedef hizmet kuralı ikinciyi yanıtlar. Hiçbiri fiziksel makineyi tanımlamaz, çünkü ikisi de birçok cihazın paylaştığı ağ alanları üzerinde çalışır. Üçüncüsü, o cihaza verilmiş ve sessizce yeniden kullanılamayan bir kimlik bilgisi gerektirir.

Üç yanıtı ayrı ayrı yazın. Tek bir güvenlik duvarı satırı üç şeyi adlandıran bir gereksinimi karşılayamaz.

Kaynak adresinin size söyleyebilecekleri

Adres çevirisi, ağ kaynak kuralının fazla izin vermesinin olağan nedenidir. Bir ofis çıkışının arkasındaki her şey aynı genel adres olarak görünür, bu yüzden kural tüm gruba izin verir. VPN içindeki sabit adres başka bir yerde aynı zayıflığa sahiptir: oturuma bağlı bir atamadır, donanımın özelliği değildir. Kabul edilmiş kimlik bilgisine sahip herhangi bir cihaz o oturumu açabilir. Adresi ağ kısıtlaması olarak ele alın ve öyle tanımlayın.

Bu hâlâ maruziyeti sınırlamak için yararlıdır ve cihaz kimlik doğrulaması değildir.

Erişimi kayıtlı bir kimlik bilgisine bağlayın

Gereksinim cihaz kısıtlamasıysa, VPN'in desteklediği cihaz başına kaydı kullanın ve her bilgisayara ayrı bir kimlik verin.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Depo listesi sertifikayı ve özel anahtarın olup olmadığını gösterir; doğrulama ise zincirin amaçlanan bağlantı noktasına gidip gitmediğini gösterir. Bir sertifika, yapılandırılmış politika kapsamında kabul edilen özel anahtara sahip olunduğunu kanıtlar; anahtar dışa aktarılıp kopyalanabildiğinde onu hangi fiziksel makinenin tuttuğunu kanıtlamaz. Profili dizüstü bilgisayarın adıyla adlandırmak, sırrı eskisi kadar taşınabilir bırakır. Platformun desteklediği yerlerde, kanıtlama politikasıyla donanım korumalı anahtarlar daha güçlü bir bağ sağlar ve kayıt yine de kimlik bilgisini kimin alabileceğine karar vermek zorundadır.

Sınırı test edin, sonra kaldırmayı planlayın

İki durumu değerlendirin: onaylı dizüstü bilgisayar ve kullanıcı bağlanabilmelidir; yalnızca kullanıcının hesabını taşıyan başka bir cihaz bağlanmamalıdır. Tasarım hem kullanıcı hem de cihaz denetimi gerektiriyorsa, seçilen yöntemin ikisini de aynı oturumda uyguladığını doğrulayın; iki bağımsız ayarın birleştiğini varsaymak yerine.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

İptal, kabul edilen cihaz kimliğini kaldırmalıdır ve etkin oturumların ele alınması kendi testini hak eder. Bir TPM veya yönetilen cihaz işareti, makinedeki her süreç için temiz bir sağlık belgesi değildir.

Ağ kısıtlamasını, cihaz kimlik bilgisini ve kayıt kararını üç sahipli üç kontrol olarak kaydedin. Bu, sınırı denetlenebilir kılar ve tek başına bir adresin asla sunamayacağı şey budur.