Klante se VPN-toegang: gee bevoorregte werk sy eie toestel

Die verbindingsprofiel sê Produksie, die tonnel kom op, en elke venster op die lessenaar kan nou die klant se stelsels bereik. Niks in daardie volgorde het die bevoorregte sessie van die blaaier-oortjie langsaan geskei nie. ’n VPN-profiel is ’n naam plus ’n stel roetes; die grens waaroor jy werklik bekommerd is, word gebou uit toestelidentiteit, ’n beheerde uitvoeringsomgewing en ’n geloofsbriefroete. Daardie drie word op verskillende plekke afgedwing, en daarom lewer die toevoeging van een en die oorslaan van die ander ’n ontwerp op wat aan die vereistes voldoen lyk en dit nie is nie.

’n Profielnaam is nie ’n grens nie

Die kliënt pas roetes en DNS-opstelling toe wanneer die tonnel opkom, en enigiets wat daarna op daardie masjien loop, erf albei.

’n Naam in ’n keuselys verander wat ’n operateur herken, nie wat die bedryfstelsel toelaat nie.

Toestelidentiteit is wat die poort kan nagaan

’n Poort wat toestelsertifikate of postuurkontroles ondersteun, verifieer die masjien sowel as die persoon. Dit is die laag wat ’n verbinding van ’n onbestuurde skootrekenaar kan weier voordat iemand ’n wagwoord tik. Dit gee jou ook iets konkreets om te herroep wanneer ’n toestel verlore raak. Om een sertifikaat op drie masjiene te kopieer, verwyder juis daardie eienskap, en daarom hoort die sertifikaatlewensiklus in die ooreenkoms eerder as in ’n gedeelde vouer.

Die klant besluit watter van daardie kontroles sy beleid vereis, en ’n virtuele masjien wat deur ’n verskaffer gebou is, voldoen dalk glad nie aan ’n postuurkontrole nie.

Waar ’n VM-grens lek

’n Virtuele masjien hou klantgereedskap en netwerktoestand bymekaar, en dit is werklik nuttig. Dit hang ook van sy gasheer en die hipervisor af, en verskeie geriewe steek die lyn oor: gedeelde vouers, knipbordintegrasie, geloofsbrief-agente en bestuurstoegang op gasheervlak. ’n Bevoorregte gas op ’n daagliks gebruikte gasheer is nie onafhanklik betroubaar nie, want die gasheer kan sien wat die gas doen. Behandel die VM as ’n kontrole wat blootstelling verminder, nie as ’n aparte sekuriteitsdomein nie.

’n Toegewyde fisiese toestel verwyder die gasheerafhanklikheid en voeg daarvoor ’n onderhoudsverpligting by.

Geloofsbriewe en oordragroetes

Gebruik individuele, herroeibare identiteite per ingenieur en per klant, en hou hulle uit persoonlike blaaierprofiele en kletsgeskiedenis. Geloofsbriewe wat deur ’n hele span gedeel word, kan nie skoon toegeskryf, geroteer of herroep word nie. Bepaal die oordragroete vir gereedskap, lêers en diagnostiese uitsette voor die eerste sessie, want ad-hoc lêerbeweging is hoe ’n grens stilweg ophou om een te wees. As twee klante terselfdertyd bereik moet word, kry eers die netwerk- en identiteitskeiding goedgekeur.

Moenie twee klantnetwerke deur een werkstasie brug nie, net omdat dit daardie middag gerieflik was nie.

Die ooreenkoms wat dit herhaalbaar maak

Skryf ’n kort rekord per klant en hou dit waar albei kante dit kan vind. Dit moet die goedgekeurde toestel of afgeleë omgewing noem en wie dit onderhou, die identiteite wat toegelaat word, die stelsels en bedrywighede wat hulle mag bereik, die oordragroete, en die normale manier waarop ’n sessie eindig.

Vyf reëls wat iemand nagaan wanneer ’n persoon aansluit of vertrek, klop ’n beleid wat niemand kan toepas nie:

• Goedgekeurde toestel of afgeleë omgewing, met ’n genoemde onderhoudseienaar.
• Individuele gebruiker- en toestelidentiteite wat vir ondersteuning toegelaat word.
• Stelsels en bedrywighede wat daardie identiteite mag bereik.
• Toegelate roete vir gereedskap, lêers en diagnostiese uitsette.
• Sessiebeëindigingsproses en ’n gemagtigde noodalternatief.

Noodtoegang sonder om geloofsbriewe te verskuif

Wanneer ’n kontrole ’n dringende herstel keer, is die uitsonderingsproses die pad, nie ’n tweede skootrekenaar met dieselfde geloofsbriewe nie. ’n Goedgekeurde uitsondering teken aan wie dit gemagtig het, wat verslap is, en wanneer dit eindig. Om ’n geloofsbrief na ’n daagliks gebruikte masjien te skuif, verander die grens op die slegste moontlike oomblik, en dit bly gewoonlik daarna verander. Die noodroete verdien ’n oefening terwyl niks stukkend is nie.

Eindig dan die sessie soos die ooreenkoms sê, en bevestig dat die toegang werklik gestop het.