Şəxsi VPN-də iş noutbuku: əslində nə keçir

Şirkət noutbukunu ev VPN-inə qoşmaq onu eyni vaxtda iki yerdə yerləşdirir və maraqlı sual həyəcanverici olandan daha kiçik və daha faydalıdır. Heç kim ofislə ev arasında Ethernet kabeli çəkməmişdir və heç bir marşrut ev şəbəkəsini korporativ alt şəbəkənin uzantısına çevirmir. Mövcud olan iki mühitə çıxışı olan tək bir son nöqtədir və onların arasında həqiqətən nəyin hərəkət edə biləcəyini üç ayrı mexanizm müəyyən edir. Bu üçünü son nöqtədən bayıra doğru gəzmək, etiketlər barədə mübahisə əvəzinə administratorun tətbiq edə biləcəyi cavab verir.

Şəbəkə diaqramından deyil, son nöqtədən başlayın

Son nöqtə hər iki bağlantının qovuşduğu yerdir, buna görə baxış oradan başlayır: hansı proseslər işləyir, nəyə çata bilirlər və onları kim idarə edir. Noutbuka bağlanmış iki buludu göstərən diaqram dəqiq və faydasızdır, çünki mövcud olmaya biləcək bir əlaqəni ima edir. Onu hər mühitlə danışa bilən tətbiqlərin siyahısı ilə əvəz edin və hər birinin hansı hesab altında işlədiyini qeyd edin. Bu çərçivə baxışı həm də mütənasib saxlayır, çünki iki tunelli noutbuk birləşdirilmiş iki şəbəkə ilə eyni obyekt deyil.

Bu siyahı baxışın qalan hissəsinin üzərində işlədiyi inventardır. Əgər orada sinxronizasiya müştərisi, hər iki mühitə daxil olmuş brauzer profili və etimadnamələri olan qurma agenti varsa, baxışın artıq mövzuları var.

Üç keçid nöqtəsi, ayrı-ayrılıqda nəzərdən keçirilir

Tətbiq çıxışı birinci keçid nöqtəsidir və heç bir yönləndirmə tələb etmir. Son nöqtədəki brauzer vərəqi, sinxronizasiya müştərisi və ya qurma agenti bir mühitdəki resursdan oxuya və digər mühitdəki resursa məlumat göndərə bilər. Bu imkan əməliyyat sisteminin interfeyslər arasında paketləri yönləndirib-yönləndirməməsindən asılı olmayaraq mövcuddur və insanların körpü yoxdursa risk də yoxdur qənaətinə gələndə qaçırdıqları mexanizm məhz budur. Buna görə tətbiqlərin siyahısını oxumaq interfeys siyahısını oxumaqdan daha məlumatvericidir.

Kimlik və məlumat ikinci keçid nöqtəsini təşkil edir. Korporativ etimadnamələr, sessiya kukiləri, yüklənmiş sənədlər və idarəetmə hüquqları son nöqtədə yaşayır və başqa şəbəkəyə qoşulmaq onları özlüyündə açmır. Dəyişən şey, son nöqtə həmin etimadnamələri saxlayarkən ona təsir edə biləcək tərəflərin çoxluğudur ki, bu da marşrutlaşdırma deyil, şəxsi şəbəkənin etibarlılığı barədə sualdır. Bu, son nöqtənin sahibinin tək verə bilməyəcəyi bir mühakimədir və yönləndirmə qaydasının olmaması ilə cavablandırılmır.

Şəbəkə yönləndirməsi üçüncüdür və noutbuku tranzit cihazına çevirə bilən yeganə mexanizmdir. IP yönləndirməsi, internet bağlantısının paylaşılması, proksi və ya körpü funksiyası bunu hər biri edə bilər və hər biri ya aktiv, ya da deaktiv olan bir konfiqurasiyadır. Bu vəziyyəti VPN müştərisinin mövcudluğundan nəticə çıxarmaq əvəzinə birbaşa yoxlayın. İdarə olunan maşında cavab adətən xeyrdir və bunu təsdiqləmək bir fərziyyəni qeydə dəyər fakta çevirir.

İki şəbəkə deyil, bir resurs istəyin

Əksər real tələblər ilk baxışda göründüyündən dardır: bir konsol, bir fayl paylaşımı, bir daxili veb tətbiq. Tələbi bu şəkildə ifadə edin və resursun sahibi onun ümumiyyətlə bu son nöqtəyə aid olub-olmadığını qərar versin. İki şəbəkənin birləşməsi kimi tərtib edilmiş sorğunu təsdiqləmək çətindir və ondan imtina etmək asandır; adı çəkilən bir xidmət üçün sorğunun cavabı var.

Cavab bəlidirsə, dəstəklənən ən dar yolu seçin və onu təşkilatın mövcud nəzarətləri daxilində saxlayın. İdarə olunan ikinci profil və ya məhdud əhatəli tətbiq girişi monitorinqi və siyasəti qoruyur; rəqib şəxsi konfiqurasiya isə onları səssizcə əvəz edir və növbəti yeniləmədən sonra hansının qalib gəldiyini heç kim bilmir.

DNS və marşrut təsirlərini daxil edin

Ad həlli ikinci profilin aktiv olduğu anda dəyişir. Şəxsi müştəri öz həlledicisini təqdim edə bilər, brauzer öz şifrələnmiş DNS-indən istifadə edə bilər və siyasət cədvəli daxili adları korporativ konfiqurasiyanın gözlədiyindən fərqli serverə yönləndirə bilər. Bunların heç biri yönləndirmə tələb etmir və hər biri daxili host adını yanlış yerə göndərə bilər.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

İkinci profil qoşulmadan əvvəl və sonra həmin üç çıxışı əldə edin. Aralarındakı fərq istifadəçiyə həqiqətən çatan təsirdir və çox vaxt biletin təsvir etdiyi marşrut dəyişikliyindən daha böyükdür. Hər iki qeydi saxlayın ki, sonrakı rəyçi nəzərdə tutulanı deyil, nəyin dəyişdiyini görə bilsin.

Doğrulayın və çıxış yolu saxlayın

Təsdiqlənmiş tətbiqi eyni maşındaki administrator qabığından deyil, real proses və istifadəçi kontekstindən sınaqdan keçirin. Sonra dizaynın tələb etdiyi yerlərdə əlaqəsiz təyinatların əlçatmaz qaldığını təsdiqləyin: heç kimin sınaqdan keçirmədiyi sərhəd heç kimin iddia edə bilməyəcəyi sərhəddir. Şəxsi tuneli ayırmaq əvvəlki vəziyyəti bərpa etməlidir və bu bərpa hələ kimsə baxarkən yoxlanılmağa dəyər.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-in sıfır etibarlı arxitektura barədə təlimatı burada faydalıdır, çünki şəbəkə məkanını avtomatik etibar mənbəyi kimi çıxarır və bu, müzakirə mövzusu olan fərziyyənin özüdür. Sual ev şəbəkəsinin təbiətcə etibarlı olub-olmaması deyil; sual kimin hansı resursa, hansı son nöqtədən, hansı icra nöqtəsindən çata bilməsidir. Bu üçünə cavab verin və sübutları qərarla birlikdə saxlayın.