Працоўны ноўтбук на асабістым VPN: што насамрэч пераходзіць

Падключэнне кампанійскага ноўтбука да хатняга VPN змяшчае яго ў двух месцах адначасова, і цікавае пытанне тут драбнейшае і карыснейшае за трывожнае. Ніхто не пракладаў сеткавы кабель паміж офісам і домам, і ніводны маршрут не робіць хатнюю сетку пашырэннем карпаратыўнай падсеткі. Існуе адзіны канцавы пункт з доступам да абедзвюх асяроддзяў, і тры асобныя механізмы вырашаюць, што насамрэч можа перамяшчацца паміж імі. Разгляд гэтых трох ад канцавога пункта вонкі дае адказ, на які адміністратар можа дзейнічаць замест спрэчкі пра назвы.

Пачніце з канцавога пункта, а не з схемы сеткі

Канцавы пункт — гэта месца, дзе сустракаюцца абодва злучэнні, таму менавіта там пачынаецца разгляд: якія працэсы працуюць, чаго яны могуць дасягнуць і хто імі кіруе. Схема, якая паказвае два воблакі, злучаныя з ноўтбукам, дакладная і бескарысная, бо яна мяркуе сувязь, якой можа не існаваць. Замяніце яе спісам праграм, якія могуць гаварыць з кожным асяроддзем, і адзначце, пад якім уліковым запісам працуе кожная. Такая пастаноўка таксама захоўвае разгляд суразмерным, бо ноўтбук з двума тунэлямі — не той жа аб'ект, што дзве злучаныя сеткі.

Гэты спіс — інвентар, з якога працуе ўвесь астатні разгляд. Калі ў ім ёсць кліент сінхранізацыі, профіль браўзера, які ўвайшоў у абодва асяроддзі, і агент зборкі з уліковымі данымі, то разгляд ужо мае свае суб'екты.

Тры пункты перасячэння, разгледжаныя асобна

Доступ праграм — гэта першы пункт перасячэння, і ён не патрабуе ніякай пераадрасацыі. Укладка браўзера, кліент сінхранізацыі або агент зборкі на канцавым пункце могуць чытаць з рэсурсу ў адным асяроддзі і адпраўляць даныя ў рэсурс у другім. Гэтая магчымасць існуе незалежна ад таго, ці перанапраўляе аперацыйная сістэма пакеты паміж інтэрфейсамі, і менавіта гэты механізм людзі прапускаюць, калі робяць выснову, што няма моста — значыць, няма рызыкі. Таму чытанне спісу праграм дае больш інфармацыі, чым чытанне спісу інтэрфейсаў.

Ідэнтычнасць і даныя ўтвараюць другі пункт перасячэння. Карпаратыўныя ўліковыя даныя, кукі сеансаў, спампаваныя дакументы і правы кіравання знаходзяцца на канцавым пункце, і далучэнне да іншай сеткі само па сабе іх не раскрывае. Змяняецца набор бакоў, якія могуць уплываць на канцавы пункт, пакуль ён трымае гэтыя ўліковыя даныя, а гэта пытанне пра давернасць асабістай сеткі, а не пра маршрутызацыю. Гэта меркаванне, якое ўладальнік канцавога пункта не можа зрабіць адзін, і на яго не адказвае адсутнасць правіла пераадрасацыі.

Пераадрасацыя сеткі — трэцяя і адзіная, якая можа ператварыць ноўтбук у транзітную прыладу. Пераадрасацыя IP, абагульванне інтэрнэт-злучэння, проксі або функцыя маста могуць гэта зрабіць, і кожная з іх — гэта налада, якая альбо ўключана, альбо не. Правярайце гэты стан непасрэдна, замест таго каб рабіць выснову з наяўнасці кліента VPN. На кіраванай машыне адказ звычайна не, і яго праверка ператварае здагадку ў факт, які варта запісаць.

Прасіце адзін рэсурс, а не дзве сеткі

Большасць рэальных патрабаванняў вузейшыя, чым здаюцца спачатку: адна кансоль, адзін агульны каталог, адна ўнутраная вэб-праграма. Сфармулюйце патрабаванне менавіта так і дайце ўладальніку рэсурсу вырашыць, ці належыць яно наогул гэтаму канцавому пункту. Запыт, сфармуляваны як злучэнне дзвюх сетак, цяжка ўхваліць і лёгка адхіліць; запыт на адну названую паслугу мае адказ.

Калі адказ станоўчы, аддайце перавагу самому вузкаму падтрыманаму шляху і трымайце яго ў межах існуючых кантроляў арганізацыі. Кіраваны другі профіль або абмежаваны запіс праграмы захоўвае маніторынг і палітыку; канкуруючая асабістая канфігурацыя ціха іх замяняе, і ніхто не ведае, якая з іх пераможа пасля наступнага абнаўлення.

Уключыце ўплыў DNS і маршрутаў

Разрозненне імёнаў змяняецца ў той момант, калі другі профіль становіцца актыўным. Асабісты кліент можа навязваць свой рэзалвер, браўзер можа выкарыстоўваць уласны шыфраваны DNS, а табліца палітыкі можа накіроўваць унутраныя імёны на іншы сервер, чым чакае карпаратыўная канфігурацыя. Нішто з гэтага не патрабуе пераадрасацыі, і любое з гэтага можа адправіць унутранае імя хоста не туды.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Захавайце гэтыя тры вынікі да і пасля падключэння другога профілю. Розніца паміж імі — гэта эфект, які насамрэч даходзіць да карыстальніка, і ён часта большы за змену маршрутызацыі, якую апісвае тыкет. Захавайце абодва здымкі, каб пазнейшы рэцэнзент бачыў, што змянілася, а не што планавалася.

Праверце і пакіньце шлях да адыходу

Тэстуйце ўхваленую праграму з рэальнага працэсу і кантэксту карыстальніка, а не з адміністрацыйнай абалонкі на той жа машыне. Затым пераканайцеся, што староннія пункты прызначэння застаюцца недасягальнымі там, дзе гэта патрабуе праект: мяжа, якую ніхто не праверыў, — гэта мяжа, на якую ніхто не можа спасылацца. Адключэнне асабістага тунэлю павінна вярнуць папярэдні стан, і гэтае вяртанне варта праверыць, пакуль нехта яшчэ назірае.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Кіраўніцтва NIST пра архітэктуру нулявога даверу карыснае тут, бо яно прыбірае сеткавае размяшчэнне як аўтаматычную крыніцу даверу, а гэта менавіта тая здагадка, пра якую ідзе гаворка. Пытанне не ў тым, ці хатняя сетка даверная па сваёй прыродзе; пытанне ў тым, хто можа дасягнуць якога рэсурсу, з якога канцавога пункта і праз які пункт кантролю. Адкажыце на гэтыя тры і трымайце доказы разам з рашэннем.