Werklaptop op 'n persoonlike VPN: wat werklik oorgedra word

Om 'n maatskappylaptop by 'n tuis-VPN aan te sluit, plaas dit op twee plekke tegelyk, en die interessante vraag is kleiner en nuttiger as die kommerwekkende een. Niemand het 'n Ethernet-kabel tussen die kantoor en die huis verbind nie, en geen roete maak die tuisnetwerk op magiese wyse 'n verlenging van die korporatiewe subnet nie. Wat bestaan, is 'n enkele eindpunt met toegang tot beide omgewings, en drie afsonderlike meganismes bepaal wat werklik tussen hulle kan beweeg. Om daardie drie van die eindpunt af na buite te deurwerk, lewer 'n antwoord waarop 'n administrateur kan optree eerder as 'n debat oor etikette.

Begin by die eindpunt, nie by die netwerkdiagram nie

Die eindpunt is waar beide verbindings bymekaarkom, dus is dit waar die oorsig begin: watter prosesse loop, wat hulle kan bereik, en wie hulle beheer. 'n Diagram wat twee wolke aan 'n laptop gekoppel wys, is akkuraat en nutteloos, want dit impliseer 'n skakel wat dalk nie bestaan nie. Vervang dit met 'n lys van die toepassings wat met elke omgewing kan praat, en let op onder watter rekening elkeen loop. Daardie raamwerk hou die oorsig ook in verhouding, aangesien 'n laptop met twee tonnels nie dieselfde objek is as twee netwerke wat saamgevoeg is nie.

Daardie lys is die inventaris waarvan die res van die oorsig werk. As dit 'n sinchronisasiekliënt, 'n blaaierprofiel wat by beide omgewings aangemeld is en 'n bouagent met geloofsbriewe bevat, het die oorsig reeds sy onderwerpe.

Drie kruispunte, afsonderlik beoordeel

Toepassingstoegang is die eerste kruispunt, en dit vereis geen deurgee nie. 'n Blaaier-oortjie, 'n sinchronisasiekliënt of 'n bouagent op die eindpunt kan uit 'n hulpbron in een omgewing lees en data na 'n hulpbron in die ander een stuur. Daardie vermoë bestaan of die bedryfstelsel pakkette tussen koppelvlakke deurstuur of nie, en dit is die meganisme wat mense mis wanneer hulle aflei dat geen brug geen risiko beteken nie. Om die lys toepassings te lees, is dus meer insiggewend as om die lys koppelvlakke te lees.

Identiteit en data vorm die tweede kruispunt. Korporatiewe geloofsbriewe, sessiekoekies, afgelaaide dokumente en bestuursregte woon op die eindpunt, en om by 'n ander netwerk aan te sluit openbaar hulle nie vanself nie. Wat verander, is die stel partye wat die eindpunt kan beïnvloed terwyl dit daardie geloofsbriewe hou, wat 'n vraag oor die betroubaarheid van die persoonlike netwerk is eerder as oor roetebepaling. Dit is 'n oordeel wat die eienaar van die eindpunt nie alleen kan maak nie, en dit word nie beantwoord deur die afwesigheid van 'n deurgee-reël nie.

Netwerkdeurgee is die derde, en die enigste een wat die laptop in 'n deurgangstoestel kan verander. IP-deurgee, deel van die internetverbinding, 'n proxy of 'n brugfunksie kan elkeen dit doen, en elkeen is 'n opset wat óf geaktiveer is óf nie. Ondersoek daardie toestand direk in plaas daarvan om dit uit die teenwoordigheid van 'n VPN-kliënt af te lei. Op 'n bestuurde masjien is die antwoord gewoonlik nee, en om dit te verifieer verander 'n aanname in 'n feit wat die moeite werd is om aan te teken.

Vra vir een hulpbron, nie twee netwerke nie

Die meeste werklike vereistes is smaller as wat dit aanvanklik lyk: een konsole, een lêerdeling, een interne webtoepassing. Stel die vereiste so en laat die eienaar van die hulpbron besluit of dit hoegenaamd op hierdie eindpunt hoort. 'n Versoek wat as twee netwerke wat saamsmelt geformuleer is, is moeilik om goed te keur en maklik om te weier; 'n versoek vir een genoemde diens het 'n antwoord.

As die antwoord ja is, verkies die nouste ondersteunde pad en hou dit binne die organisasie se bestaande kontroles. 'n Bestuurde tweede profiel of 'n beperkte toepassingsinskrywing behou monitering en beleid; 'n mededingende persoonlike opset vervang hulle stilweg, en niemand weet watter een wen ná die volgende opdatering nie.

Sluit DNS- en roete-effekte in

Naamresolusie verander die oomblik wanneer 'n tweede profiel aktief is. 'n Persoonlike kliënt kan sy eie oplosser stoot, 'n blaaier kan sy eie geënkripteerde DNS gebruik, en 'n beleidstabel kan interne name na 'n ander bediener stuur as wat die korporatiewe opset verwag. Nie een van dié vereis deurgee nie, en enigeen van hulle kan 'n interne gasheernaam na die verkeerde plek stuur.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Vang daardie drie uitsette voor en nadat die tweede profiel koppel. Die verskil tussen hulle is die effek wat werklik die gebruiker bereik, en dit is dikwels groter as die roeteverandering wat die kaartjie beskryf. Hou beide vasleggings sodat 'n latere beoordelaar kan sien wat verander het eerder as wat bedoel was.

Verifieer en hou 'n uitweg oop

Toets die goedgekeurde toepassing vanuit die werklike proses en gebruikerskonteks, nie vanuit 'n administrateur-shell op dieselfde masjien nie. Bevestig dan dat onverwante bestemmings onbereikbaar bly waar die ontwerp dit vereis: 'n grens wat niemand getoets het nie, is 'n grens wat niemand kan opeis nie. Om die persoonlike tonnel te ontkoppel behoort die vorige toestand te herstel, en daardie herstel is die moeite werd om na te gaan terwyl iemand nog kyk.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Die NIST-riglyne oor zero-trust-argitektuur is hier nuttig omdat dit netwerklokasie as 'n outomatiese bron van vertroue verwyder, wat juis die aanname is waaroor dit gaan. Die vraag is nie of die tuisnetwerk van nature betroubaar is nie; dit is wie watter hulpbron kan bereik, vanaf watter eindpunt, deur watter handhawingspunt. Beantwoord daardie drie, en hou die bewyse by die besluit.