Список дозволених IP чи схвалений ноутбук: два різні контролі

Запити на правило, за яким підключатися може лише схвалений ноутбук, часто закінчуються записом у міжмережевому екрані для публічної адреси офісу. Це правило тепер пропускає кожен пристрій за адресою. Вимога й реалізація — не одне й те саме. Відокремте те, чого хоче політика, від того, що може довести адреса.

Три питання в одному запиті політики

Поділіть запит на три частини: звідки надходить з'єднання, якого сервісу воно може досягти і який комп'ютер пред'являє облікові дані. Правило адреси джерела відповідає на перше, а правило цільового сервісу — на друге. Жодне не ідентифікує фізичну машину, бо обидва працюють із мережевими полями, які спільно використовують багато пристроїв. Третє потребує облікових даних, виданих цьому пристрою і які не можна тихо використати повторно.

Запишіть три відповіді окремо. Один рядок міжмережевого екрана не може задовольнити вимогу, у якій названо три.

Що може сказати адреса джерела

Трансляція адрес — звичайна причина, чому правило мережевого джерела пропускає забагато. Усе за одним офісним виходом виглядає як та сама публічна адреса, тому правило надає доступ усій групі. Фіксована адреса всередині VPN має ту саму слабкість в іншому місці: це призначення, прив'язане до сеансу, а не властивість обладнання. Будь-який пристрій із прийнятими обліковими даними може відкрити цей сеанс. Ставтеся до адреси як до мережевого обмеження і описуйте її саме так.

Це досі корисно для обмеження впливу, і це не автентифікація пристрою.

Прив'яжіть доступ до зареєстрованих облікових даних

Якщо вимога — обмеження пристрою, використовуйте підтримувану VPN реєстрацію для кожного пристрою і дайте кожному комп'ютеру окрему ідентичність.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Список сховища показує сертифікат і наявність закритого ключа, а перевірка показує, чи веде ланцюжок до потрібного якоря. Сертифікат доводить володіння прийнятим закритим ключем згідно з налаштованою політикою; він не доводить, на якій фізичній машині він був, коли цей ключ можна експортувати й скопіювати. Назва профілю на честь ноутбука залишає секрет таким самим переносним, як раніше. Там, де платформа це підтримує, апаратно захищені ключі з політикою атестації дають міцніший зв'язок, а реєстрація все ще має вирішити, хто може отримати облікові дані.

Перевірте межу, потім плануйте видалення

Оцініть два випадки: схвалений ноутбук і користувач мають підключатися, а інший пристрій лише з обліковим записом користувача — ні. Якщо проєкт вимагає перевірки і користувача, і пристрою, переконайтеся, що вибраний метод забезпечує обидві в одному сеансі, а не припускає, що два незалежні налаштування складаються.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Відкликання має видаляти прийняту ідентичність пристрою, а робота з активними сеансами заслуговує окремого тесту. TPM або прапорець керованого пристрою не є чистим свідоцтвом здоров'я для кожного процесу на машині.

Запишіть мережеве обмеження, облікові дані пристрою та рішення про реєстрацію як три контролі з трьома власниками. Це робить межу придатною для перегляду, і саме цього одна адреса ніколи не може дати.