Danh sách IP được phép so với laptop đã phê duyệt: hai biện pháp kiểm soát khác nhau

Các yêu cầu về một quy tắc chỉ cho phép laptop đã phê duyệt kết nối thường kết thúc bằng một mục tường lửa cho địa chỉ công cộng của văn phòng. Quy tắc đó giờ đây chấp nhận mọi thiết bị phía sau địa chỉ. Yêu cầu và cách triển khai không phải là một. Hãy tách điều chính sách muốn khỏi điều địa chỉ có thể chứng minh.

Ba câu hỏi trong một yêu cầu chính sách

Chia yêu cầu thành ba phần: kết nối đến từ đâu, nó có thể chạm tới dịch vụ nào và máy tính nào trình bày thông tin xác thực. Quy tắc địa chỉ nguồn trả lời phần đầu, quy tắc dịch vụ đích trả lời phần thứ hai. Cả hai đều không nhận diện máy vật lý, vì cả hai làm việc trên các trường mạng mà nhiều thiết bị chia sẻ. Phần thứ ba cần thông tin xác thực được cấp cho thiết bị đó và không thể bị dùng lại một cách âm thầm.

Viết ba câu trả lời riêng rẽ. Một dòng tường lửa không thể đáp ứng yêu cầu nêu ba điều.

Địa chỉ nguồn có thể cho bạn biết gì

Dịch địa chỉ là lý do thường gặp khiến quy tắc nguồn mạng chấp nhận quá nhiều. Mọi thứ phía sau một lối ra văn phòng hiện ra như cùng một địa chỉ công cộng, nên quy tắc cấp quyền cho cả nhóm. Một địa chỉ cố định bên trong VPN có cùng điểm yếu ở chỗ khác: đó là sự gán gắn với phiên chứ không phải thuộc tính của phần cứng. Bất kỳ thiết bị nào giữ thông tin xác thực được chấp nhận đều có thể mở phiên đó. Hãy coi địa chỉ là một giới hạn mạng và mô tả nó như vậy.

Điều đó vẫn hữu ích để hạn chế phơi nhiễm, và nó không phải xác thực thiết bị.

Gắn quyền truy cập với thông tin xác thực đã đăng ký

Nếu yêu cầu là giới hạn thiết bị, hãy dùng đăng ký theo từng thiết bị mà VPN hỗ trợ và cấp cho mỗi máy tính một danh tính riêng.

certutil -store My <thumbprint>
openssl verify -CAfile vpn-ca.pem device.pem

Danh sách trong kho hiển thị chứng chỉ và việc có khóa riêng hay không, còn việc xác minh cho thấy chuỗi có dẫn tới neo dự định hay không. Chứng chỉ chứng minh việc nắm giữ khóa riêng đã được chấp nhận theo chính sách đã cấu hình; nó không chứng minh máy vật lý nào giữ khóa khi khóa đó có thể bị xuất và sao chép. Đặt tên hồ sơ theo laptop để lộ bí mật vẫn dễ mang đi như trước. Ở nơi nền tảng hỗ trợ, khóa được phần cứng bảo vệ cùng chính sách chứng thực cho mối liên kết mạnh hơn, và việc đăng ký vẫn phải quyết định ai được nhận thông tin xác thực.

Kiểm tra ranh giới, rồi lên kế hoạch thu hồi

Đánh giá hai trường hợp: laptop đã phê duyệt và người dùng phải kết nối được, còn thiết bị khác chỉ có tài khoản người dùng thì không. Nếu thiết kế yêu cầu kiểm tra cả người dùng lẫn thiết bị, hãy xác minh phương pháp đã chọn thực thi cả hai trong cùng một phiên thay vì giả định hai cài đặt độc lập kết hợp với nhau.

openssl s_client -connect vpn.example.com:443 -servername vpn.example.com -cert device.pem -key device.key

Việc thu hồi phải xóa danh tính thiết bị đã được chấp nhận, và việc xử lý các phiên đang hoạt động xứng đáng có bài kiểm tra riêng. Một TPM hay cờ thiết bị được quản lý không phải giấy chứng nhận sức khỏe sạch cho mọi tiến trình trên máy.

Ghi lại giới hạn mạng, thông tin xác thực thiết bị và quyết định đăng ký như ba biện pháp kiểm soát với ba chủ sở hữu. Điều đó làm ranh giới có thể rà soát, và đó là điều một địa chỉ đơn thuần không bao giờ cung cấp được.