Stel ’n afstandtoegangstoestel voor wat die netwerkeienaar kan goedkeur

’n Afstandtoegangstoestel verander die kliënt se netwerkgrens selfs wanneer dit uitbel en geen inkomende poortaanstuur nodig het nie. Dit is die uitwaartse rigting wat die installering maklik maak en wat dit maklik maak om oor die hoof te sien. Stel dit voor as ’n toegangsontwerpversoek voordat dit op die netwerk gaan. Om dit voor te stel as iets wat jy nie nodig gehad het om te noem nie, is hoe ’n tegniese sukses in ’n kontrakprobleem verander.

Neem aan die netwerkeienaar sal vier vrae vra: wat, wie, hoe ver, en hoe maak ons dit ongedaan.

Vra vir die hulpbron, nie die subnet nie

Beskryf die werk in die terme wat die eienaar gebruik: watter persoon watter diens nodig het, op watter toestel, vir hoe lank. ’n Versoek wat tot een toepassing op een gasheer beperk is, is maklik om goed te keur. ’n Versoek vir ’n subnet is ’n versoek om iemand se segmentering te herorganiseer.

Die kliënt het miskien reeds ’n goedgekeurde VPN, ’n afstandswerkskerm-gateway of ’n bestuurde ondersteuningskanaal wat die behoefte dek. Kyk eers daarna, want die hergebruik van ’n bestaande roete is gewoonlik die goedkoopste antwoord vir beide kante. As dit nie pas nie, sê presies waarom. Daardie vergelyking is die sterkste deel van die voorstel.

As ’n toestel werklik nodig is, bring sy eienaar, sagtewarebron, opdateringsproses en beoogde installasiepunt saam.

Wys die verbinding en waar vertroue eindig

Teken die toestel, die afstandgebruiker, enige makelaar of aflos en die beskermde hulpbron. Merk waar enkripsie eindig en wie elke eindpunt administreer. ’n Uitwaartse sessie stel steeds ’n nuwe beheerroete bekend, en dit is in die diagram waar dit sigbaar word. Om te sê dat die verkeer geënkripteer is, beantwoord ’n vertroulikheidsvraag en geen magtigingsvraag nie.

Noem die modus uitdruklik: pakkie-aanstuur, toepassingsproksie of ’n blootgestelde werkskerm. Elkeen het verskillende gevolge vir roetering en gasheersekuriteit, en elkeen faal anders wanneer die toestel gekompromitteer word.

Hou onverwante kliëntnetwerke en die toestel se eie administrasiekoppelvlak buite die goedgekeurde omvang.

Skei gebruikersidentiteit van toestelidentiteit

Gebruikersinskrywing, toestelidentiteit, multifaktor-verifikasie en toepassingaanmelding is vier verskillende kontroles, en die voorstel moet elkeen noem. Gedeelde aanmeldings is die algemene kortpad, en dit laat die eienaar nie in staat om een persoon te herroep sonder om almal te ontwrig nie. Toepassingaanmelding moet by die toepassing bly. Die toestel verifieer ’n verbinding; die diens besluit wat daardie verbinding mag doen.

NIST se zero-trust-argitektuur is hier nuttig omdat dit toegang tot hulpbronne as ’n uitdruklike besluit behandel eerder as ’n gevolg van netwerklokasie.

Kom ooreen oor herstel en verwydering voor installasie

Die eienaar moet toegang vinnig kan uitskakel deur ’n kontrole wat hy self bedryf, nie deur ’n oproep na jou nie. Skryf aanmeldingsherroeping, verwydering van die toestel, verantwoordelikheid vir opdaterings en ’n vervaldatum of hersieningsdatum neer. Bewaar ’n plaaslike herstelroete wat nie van die nuwe afstandkanaal afhang nie. ’n Toestel wat niemand sonder die verskaffer kan verwyder nie, is ’n permanente afhanklikheid vermom as ’n gerief.

Hou rekords in verhouding: goedgekeurde identiteite, toegangsomvang, beduidende veranderinge en relevante foute.

Die insameling van onverwante blaai-geskiedenis om te bewys dat die toestel bestaan, is nie bewys van goeie werking nie, en dit skep ’n verpligting wat die eienaar nooit gevra het nie.

Hoe ’n suksesvolle goedkeuring lyk

Aanvaar die ontwerp saam met die eienaar met een toegelate diens en een hulpbron wat geweier moet bly. Daardie tweede helfte is die deel wat mense oorslaan, en dit is die enigste deel wat bewys dat die grens sit waar die diagram sê dit sit. Toets herroeping op dieselfde manier, voordat die toestel werklike werk dra. As goedkeuring weerhou word, gebruik die kliënt se goedgekeurde alternatief of doen die werk plaaslik.

’n Werkende verbinding is nie toestemming om die toegangsroete te skep nie.

Skryf die goedkeuring neer met sy omvang en sy vervaldatum, en gee ’n afskrif aan die eienaar. Die volgende persoon wat daardie netwerk aanraak, sal die rekord lees, nie jou herinnering aan die gesprek nie.