وصول العملاء عبر VPN: امنح العمل المتميّز جهازه الخاص

يقول ملف الاتصال Production، ويرتفع النفق، وكل نافذة على سطح المكتب تستطيع الآن الوصول إلى أنظمة العميل. لم يفصل شيء في ذلك التسلسل الجلسة المتميّزة عن تبويب المتصفح المجاور لها. ملف VPN هو اسم ومجموعة مسارات؛ أمّا الحدّ الذي يهمّك فعلًا فيُبنى من هوية الجهاز وبيئة تنفيذ محكمة ومسار بيانات اعتماد. تُفرض هذه الثلاثة في أماكن مختلفة، ولذلك فإن إضافة واحد منها وتجاهل الباقي ينتج تصميمًا يبدو مطابقًا وليس كذلك.

اسم الملف ليس حدًّا

يطبّق العميل المسارات وإعدادات DNS عند ارتفاع النفق، وكل ما يعمل على ذلك الجهاز بعد ذلك يرث الاثنين.

الاسم في قائمة منسدلة يغيّر ما يتعرّف عليه المشغّل، لا ما يسمح به نظام التشغيل.

هوية الجهاز هي ما تستطيع البوابة فحصه

البوابة التي تدعم شهادات الأجهزة أو فحوص الحالة تصادق على الجهاز وعلى الشخص معًا. تلك هي الطبقة التي تستطيع رفض اتصال من حاسوب محمول غير مُدار قبل أن يكتب أحد كلمة مرور. وهي أيضًا تمنحك شيئًا ملموسًا لإبطاله عند فقدان جهاز. نسخ شهادة واحدة إلى ثلاثة أجهزة يزيل هذه الخاصية تحديدًا، ولهذا تنتمي دورة حياة الشهادة إلى الاتفاق لا إلى مجلد مشترك.

يقرّر العميل أي هذه الضوابط تتطلبها سياسته، وقد لا تستوفي آلة افتراضية بناها مورّد فحص الحالة إطلاقًا.

أين يتسرّب حدّ الآلة الافتراضية

تُبقي الآلة الافتراضية أدوات العميل وحالة الشبكة معًا، وهذا مفيد حقًا. لكنها تعتمد أيضًا على مضيفها وعلى الهايبرفايزر، وتتجاوز عدة وسائل راحة الحدّ: المجلدات المشتركة وتكامل الحافظة ووكلاء بيانات الاعتماد والوصول الإداري على مستوى المضيف. الضيف المتميّز على مضيف يُستخدم يوميًا ليس موثوقًا بشكل مستقل، لأن المضيف يستطيع رؤية ما يفعله الضيف. تعامل مع الآلة الافتراضية كضابط يقلّل التعرّض، لا كنطاق أمني منفصل.

الجهاز الفيزيائي المخصّص يزيل الاعتماد على المضيف ويضيف التزامًا بالصيانة في المقابل.

بيانات الاعتماد ومسارات النقل

استخدم هويات فردية قابلة للإبطال لكل مهندس ولكل عميل، وأبقِها خارج ملفات المتصفح الشخصية وسجلّ المحادثات. بيانات الاعتماد التي يتشاركها فريق كامل لا يمكن نسبتها أو تدويرها أو إبطالها بشكل نظيف. حدّد مسار النقل للأدوات والملفات والمخرجات التشخيصية قبل أول جلسة، لأن نقل الملفات العشوائي هو الطريقة التي يتوقف بها الحدّ بهدوء عن كونه حدًّا. وإذا كان لا بد من الوصول إلى عميلين في الوقت نفسه، فاحصل أولًا على موافقة فصل الشبكة والهوية.

لا تربط شبكتي عميلين عبر محطة عمل واحدة فقط لأن ذلك كان مريحًا في تلك الظهيرة.

الاتفاق الذي يجعل الأمر قابلًا للتكرار

اكتب سجلًا قصيرًا لكل عميل واحفظه حيث يستطيع الطرفان العثور عليه. ينبغي أن يسمّي الجهاز المعتمد أو البيئة البعيدة ومن يصونها، والهويات المسموح لها، والأنظمة والعمليات التي قد تصل إليها، ومسار النقل، والطريقة المعتادة لإنهاء الجلسة.

خمسة أسطر يراجعها أحدهم عند انضمام شخص أو مغادرته أفضل من سياسة لا يستطيع أحد تطبيقها:

• الجهاز المعتمد أو البيئة البعيدة، مع مالك صيانة محدَّد بالاسم.
• هويات المستخدم والجهاز الفردية المسموح بها للدعم.
• الأنظمة والعمليات التي قد تصل إليها تلك الهويات.
• المسار المسموح به للأدوات والملفات والمخرجات التشخيصية.
• عملية إنهاء الجلسة وبديل طارئ مصرّح به.

الوصول الطارئ دون نقل بيانات الاعتماد

عندما يعوق ضابط ما إصلاحًا عاجلًا، فإن عملية الاستثناء هي المسار، لا حاسوب محمول ثانٍ يحمل البيانات نفسها. الاستثناء المعتمد يسجّل من أذن به، وما الذي خُفِّف، ومتى ينتهي. نقل بيانات الاعتماد إلى جهاز يُستخدم يوميًا يغيّر الحدّ في أسوأ لحظة ممكنة، وغالبًا يبقى مغيَّرًا بعدها. يستحق المسار الطارئ تمرينًا بينما لا شيء معطّل.

ثم أنهِ الجلسة كما يقول الاتفاق، وتأكّد من أن الوصول توقّف فعلًا.