قابلِ اجازت IP فہرست بمقابلہ منظور شدہ لیپ ٹاپ: دو مختلف کنٹرول

ایسے قاعدے کی درخواستیں جس میں صرف منظور شدہ لیپ ٹاپ کو جڑنے کی اجازت ہو، اکثر دفتر کے عوامی پتے کے لیے فائر وال اندراج بن کر ختم ہوتی ہیں۔ یہ قاعدہ اب پتے کے پیچھے موجود ہر ڈیوائس کو داخل کرتا ہے۔ ضرورت اور عمل درآمد ایک چیز نہیں۔ پالیسی کیا چاہتی ہے اور پتہ کیا ثابت کر سکتا ہے، انہیں الگ کریں۔

ایک پالیسی درخواست میں تین سوال

درخواست کو تین حصوں میں تقسیم کریں: رابطہ کہاں سے آتا ہے، کس سروس تک پہنچ سکتا ہے، اور کون سا کمپیوٹر اسناد پیش کرتا ہے۔ ماخذ پتے کا قاعدہ پہلے کا جواب دیتا ہے، اور منزل سروس کا قاعدہ دوسرے کا۔ کوئی بھی جسمانی مشین کی شناخت نہیں کرتا، کیونکہ دونوں ایسے نیٹ ورک میدانوں پر کام کرتے ہیں جو بہت سی ڈیوائسیں مشترکہ استعمال کرتی ہیں۔ تیسرے کے لیے اسی ڈیوائس کو جاری کردہ اور خاموشی سے دوبارہ استعمال نہ ہونے والی اسناد درکار ہیں۔

تینوں جوابات الگ الگ لکھیں۔ ایک فائر وال سطر تین چیزوں کا نام لینے والی ضرورت پوری نہیں کر سکتی۔

ماخذ پتہ آپ کو کیا بتا سکتا ہے

پتوں کا ترجمہ ہی عام وجہ ہے کہ نیٹ ورک ماخذ کا قاعدہ ضرورت سے زیادہ اجازت دیتا ہے۔ ایک دفتری اخراج کے پیچھے سب کچھ ایک ہی عوامی پتے کے طور پر نظر آتا ہے، اس لیے قاعدہ پورے گروپ کو اجازت دیتا ہے۔ VPN کے اندر مقررہ پتے میں کہیں اور وہی کمزوری ہے: یہ سیشن سے منسلک تخصیص ہے، ہارڈ ویئر کی خصوصیت نہیں۔ قبول شدہ اسناد والی کوئی بھی ڈیوائس وہ سیشن کھول سکتی ہے۔ پتے کو نیٹ ورک کی حد سمجھیں اور اسی طرح بیان کریں۔

یہ اب بھی نمائش محدود کرنے کے لیے مفید ہے، اور یہ ڈیوائس کی تصدیق نہیں ہے۔

رسائی کو اندراج شدہ اسناد سے باندھیں

اگر ضرورت ڈیوائس کی حد ہو تو VPN کے معاونت کردہ فی ڈیوائس اندراج کا استعمال کریں اور ہر کمپیوٹر کو الگ شناخت دیں۔

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

اسٹور کی فہرست سرٹیفکیٹ اور نجی کلید کی موجودگی دکھاتی ہے، اور تصدیق دکھاتی ہے کہ سلسلہ مطلوبہ لنگر تک پہنچتا ہے یا نہیں۔ سرٹیفکیٹ ترتیب شدہ پالیسی کے تحت قبول شدہ نجی کلید کی ملکیت ثابت کرتا ہے؛ یہ ثابت نہیں کرتا کہ کون سی جسمانی مشین اسے رکھتی تھی جب وہ کلید برآمد اور نقل کی جا سکتی ہے۔ پروفائل کا نام لیپ ٹاپ پر رکھنا راز کو پہلے جتنا ہی منتقلی کے قابل رکھتا ہے۔ جہاں پلیٹ فارم معاونت کرتا ہے، تصدیق کی پالیسی کے ساتھ ہارڈ ویئر سے محفوظ کلیدیں زیادہ مضبوط بندھن دیتی ہیں، اور اندراج کو اب بھی طے کرنا ہے کہ اسناد کون حاصل کر سکتا ہے۔

حد کو آزمائیں، پھر ہٹانے کی منصوبہ بندی کریں

دو صورتیں جانچیں: منظور شدہ لیپ ٹاپ اور صارف کو جڑنا چاہیے، اور صرف صارف کے اکاؤنٹ والی دوسری ڈیوائس کو نہیں۔ اگر ڈیزائن میں صارف اور ڈیوائس دونوں کی جانچ درکار ہو تو تصدیق کریں کہ منتخب طریقہ دونوں کو ایک ہی سیشن میں نافذ کرتا ہے، دو آزاد ترتیبات کے مل جانے کو مان لینے کے بجائے۔

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

منسوخی کو قبول شدہ ڈیوائس شناخت ہٹانی چاہیے، اور فعال سیشنوں کی دیکھ بھال اپنی الگ جانچ کی حقدار ہے۔ TPM یا زیرِ انتظام ڈیوائس کا جھنڈا مشین پر ہر عمل کے لیے صاف صحت کا سرٹیفکیٹ نہیں ہے۔

نیٹ ورک کی حد، ڈیوائس اسناد اور اندراج کے فیصلے کو تین مالکان کے ساتھ تین کنٹرول کے طور پر درج کریں۔ یہ حد کو قابلِ جائزہ بناتا ہے، اور صرف ایک پتہ یہ کبھی فراہم نہیں کر سکتا۔