Ruxsat etilgan IP ro'yxati va tasdiqlangan noutbuk: ikki xil nazorat

Faqat tasdiqlangan noutbuk ulanishi mumkinligi haqidagi qoida so'rovlari ko'pincha ofisning ommaviy manzili uchun tarmoq ekrani yozuvi bilan tugaydi. Bu qoida endi manzil orqasidagi har bir qurilmani qabul qiladi. Talab va amalga oshirish bir narsa emas. Siyosat xohlayotgan narsani manzil isbotlay oladigan narsadan ajrating.

Bitta siyosat so'rovida uch savol

So'rovni uch qismga bo'ling: ulanish qayerdan keladi, qaysi xizmatga yeta oladi va qaysi kompyuter ishonch ma'lumotini taqdim etadi. Manba manzili qoidasi birinchisiga, maqsad xizmati qoidasi ikkinchisiga javob beradi. Ikkalasi ham jismoniy mashinani aniqlamaydi, chunki ikkalasi ham ko'p qurilmalar baham ko'radigan tarmoq maydonlarida ishlaydi. Uchinchisi shu qurilmaga berilgan va jimgina qayta ishlatib bo'lmaydigan ishonch ma'lumotini talab qiladi.

Uch javobni alohida yozing. Bitta tarmoq ekrani satri uchta narsani nomlaydigan talabni qondira olmaydi.

Manba manzili sizga nima ayta oladi

Manzillarni tarjima qilish tarmoq manbasi qoidasining haddan tashqari ruxsat berishining odatiy sababidir. Bitta ofis chiqishi orqasidagi hamma narsa bir xil ommaviy manzil sifatida ko'rinadi, shuning uchun qoida butun guruhga ruxsat beradi. VPN ichidagi qat'iy manzil boshqa joyda xuddi shunday zaiflikka ega: bu sessiyaga bog'langan tayinlash, apparat xususiyati emas. Qabul qilingan ishonch ma'lumotiga ega har qanday qurilma o'sha sessiyani ochishi mumkin. Manzilga tarmoq cheklovi sifatida qarang va shunday ta'riflang.

Bu ta'sirni cheklash uchun hali ham foydali va bu qurilma autentifikatsiyasi emas.

Kirishni ro'yxatga olingan ishonch ma'lumotiga bog'lang

Agar talab qurilma cheklovi bo'lsa, VPN qo'llab-quvvatlaydigan har bir qurilma bo'yicha ro'yxatga olishdan foydalaning va har bir kompyuterga alohida identifikatsiya bering.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Ombor ro'yxati sertifikatni va shaxsiy kalit bor-yo'qligini ko'rsatadi, tekshiruv esa zanjirning mo'ljallangan langarga olib borishini ko'rsatadi. Sertifikat sozlangan siyosat bo'yicha qabul qilingan shaxsiy kalitga egalikni isbotlaydi; u kalitni eksport qilish va nusxalash mumkin bo'lganda qaysi jismoniy mashina unga ega bo'lganini isbotlamaydi. Profilni noutbuk nomi bilan atash sirni avvalgidek ko'chiriladigan qoldiradi. Platforma qo'llab-quvvatlagan joyda apparat bilan himoyalangan kalitlar attestatsiya siyosati bilan kuchliroq bog'lanish beradi va ro'yxatga olish ishonch ma'lumotini kim olishi mumkinligini hal qilishi kerak.

Chegarani sinab ko'ring, keyin olib tashlashni rejalashtiring

Ikki holatni baholang: tasdiqlangan noutbuk va foydalanuvchi ulanishi kerak, faqat foydalanuvchi hisobiga ega boshqa qurilma ulanmasligi kerak. Agar dizayn ham foydalanuvchi, ham qurilma tekshiruvini talab qilsa, tanlangan usul ikkalasini bir sessiyada amalga oshirishini tekshiring, ikki mustaqil sozlama birlashadi deb taxmin qilish o'rniga.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Bekor qilish qabul qilingan qurilma identifikatsiyasini olib tashlashi kerak va faol sessiyalarni boshqarish o'z sinoviga loyiq. TPM yoki boshqariladigan qurilma belgisi mashinadagi har bir jarayon uchun toza sog'liq guvohnomasi emas.

Tarmoq cheklovini, qurilma ishonch ma'lumotini va ro'yxatga olish qarorini uchta egasi bo'lgan uchta nazorat sifatida qayd eting. Bu chegarani ko'rib chiqiladigan qiladi va faqat manzil hech qachon bera olmaydigan narsa shu.