Доступ кліентаў праз VPN: даць прывілеяванай працы ўласную прыладу

Профіль злучэння кажа Production, тунель узнімаецца, і кожнае акно на працоўным стале ўжо можа дасягнуць сістэм кліента. Нішто ў гэтай паслядоўнасці не аддзяліла прывілеяваны сеанс ад суседняй укладкі браўзера. Профіль VPN — гэта імя плюс набор маршрутаў; мяжа, якая вас сапраўды цікавіць, будуецца з ідэнтычнасці прылады, кантраляванага асяроддзя выканання і шляху да ўліковых даных. Гэтыя тры рэчы забяспечваюцца ў розных месцах, таму даданне аднаго і пропуск астатніх дае праект, які выглядае адпаведным, але не з’яўляецца такім.

Імя профілю — не мяжа

Кліент прымяняе маршруты і канфігурацыю DNS, калі тунель узнімаецца, і ўсё, што пасля гэтага працуе на той машыне, атрымлівае ў спадчыну і тое, і другое.

Імя ў выпадаючым спісе змяняе тое, што пазнае аператар, а не тое, што дазваляе аперацыйная сістэма.

Ідэнтычнасць прылады — гэта тое, што шлюз можа праверыць

Шлюз, які падтрымлівае сертыфікаты прылад або праверкі стану, аўтэнтыфікуе і машыну, і чалавека. Менавіта гэты ўзровень можа адмовіць у злучэнні з некіраванага ноўтбука яшчэ да таго, як хтосьці ўвядзе пароль. Ён таксама дае штосьці канкрэтнае, што можна адклікаць, калі прылада згублена. Капіраванне аднаго сертыфіката на тры машыны здымае менавіта гэтую ўласцівасць, таму жыццёвы цыкл сертыфіката належыць да пагаднення, а не да агульнай папкі.

Кліент вырашае, якія з гэтых сродкаў патрабуе яго палітыка, а віртуальная машына, пабудаваная пастаўшчыком, можа зусім не задаволіць праверку стану.

Дзе мяжа ВМ працякае

Віртуальная машына трымае інструменты кліента і стан сеткі разам, і гэта сапраўды карысна. Яна таксама залежыць ад свайго хоста і гіпервізара, і некалькі зручнасцей перасякаюць мяжу: агульныя папкі, інтэграцыя буфера абмену, агенты ўліковых даных і кіраванне на ўзроўні хоста. Прывілеяваны госць на штодзённым хосце не з’яўляецца самастойна надзейным, бо хост можа назіраць за тым, што робіць госць. Разглядайце ВМ як сродак, што памяньшае ўздзеянне, а не як асобны домен бяспекі.

Выдзеленая фізічная прылада здымае залежнасць ад хоста і дадае замест яе абавязак абслугоўвання.

Уліковыя даныя і шляхі перадачы

Выкарыстоўвайце індывідуальныя, адклікальныя ідэнтычнасці для кожнага інжынера і кожнага кліента і трымайце іх па-за асабістымі профілямі браўзера і гісторыяй чатаў. Уліковыя даныя, якімі карыстаецца ўся каманда, нельга чыста аднесці да кагосьці, змяніць або адклікаць. Вызначце шлях перадачы для інструментаў, файлаў і дыягнастычных вывадаў да першага сеанса, бо менавіта спантаннае перамяшчэнне файлаў прыводзіць да таго, што мяжа ціха перастае быць мяжой. Калі трэба дасягнуць двух кліентаў адначасова, спачатку атрымайце адабрэнне падзелу сеткі і ідэнтычнасці.

Ніколі не злучайце дзве сеткі кліентаў праз адну рабочую станцыю толькі таму, што гэта было зручна ў той паўдзень.

Пагадненне, якое робіць гэта паўторным

Напішыце кароткі запіс на кожнага кліента і трымайце яго там, дзе яго знойдуць абодва бакі. У ім павінны быць названы адабраная прылада або аддаленае асяроддзе і той, хто яго абслугоўвае, дазволеныя ідэнтычнасці, сістэмы і аперацыі, да якіх яны могуць дасягнуць, шлях перадачы і звычайны спосаб завяршэння сеанса.

Пяць радкоў, якія нехта праглядае, калі чалавек прыходзіць або сыходзіць, лепш за палітыку, якую ніхто не можа прымяніць:

• Адабраная прылада або аддаленае асяроддзе з названым уладальнікам абслугоўвання.
• Індывідуальныя ідэнтычнасці карыстальніка і прылады, дазволеныя для падтрымкі.
• Сістэмы і аперацыі, да якіх гэтыя ідэнтычнасці могуць дасягнуць.
• Дазволены шлях для інструментаў, файлаў і дыягнастычных вывадаў.
• Працэс завяршэння сеанса і ўпаўнаважаная надзвычайная альтэрнатыва.

Экстранны доступ без перамяшчэння ўліковых даных

Калі сродак кантролю блакуе тэрміновы рамонт, шляхам з’яўляецца працэс выключэння, а не другі ноўтбук з тымі ж уліковымі данымі. Адабранае выключэнне фіксуе, хто яго дазволіў, што было аслаблена і калі яно сканчаецца. Перамяшчэнне ўліковых даных на штодзённую машыну змяняе мяжу ў самы недарэчны момант, і звычайна пасля гэтага яна застаецца змененай. Экстранны шлях варта прарэпетаваць, пакуль нічога не зламана.

Затым скончыце сеанс так, як сказана ў пагадненні, і пацвердзіце, што доступ сапраўды спыніўся.