VPN достъп за клиенти: дайте на привилегированата работа собствено устройство

Профилът за връзка казва Production, тунелът се вдига и всеки прозорец на работния плот вече може да достигне системите на клиента. Нищо в тази последователност не отдели привилегированата сесия от съседния раздел на браузъра. VPN профилът е име плюс набор от маршрути; границата, която всъщност ви интересува, се изгражда от самоличност на устройството, контролирана среда за изпълнение и път за идентификационни данни. Тези три неща се налагат на различни места, затова добавянето на едно и пропускането на другите дава дизайн, който изглежда съответстващ, но не е.

Името на профила не е граница

Клиентът прилага маршрутите и конфигурацията на DNS, когато тунелът се вдигне, и всичко, което работи на тази машина след това, наследява и двете.

Името в падащ списък променя какво разпознава операторът, а не какво разрешава операционната система.

Самоличността на устройството е това, което шлюзът може да провери

Шлюз, който поддържа сертификати на устройства или проверки на състоянието, удостоверява както машината, така и човека. Това е слоят, който може да откаже връзка от необслужван лаптоп, преди някой да въведе парола. Той също ви дава нещо конкретно за отнемане, когато устройство се загуби. Копирането на един сертификат на три машини премахва точно това свойство, затова жизненият цикъл на сертификата принадлежи в споразумението, а не в споделена папка.

Клиентът решава кои от тези контроли изисква неговата политика, а виртуална машина, изградена от доставчик, може изобщо да не покрие проверка на състоянието.

Къде границата на виртуалната машина пропуска

Виртуалната машина държи инструментите на клиента и състоянието на мрежата заедно и това е наистина полезно. Тя обаче зависи от своя хост и от хипервизора, а няколко удобства пресичат границата: споделени папки, интеграция на клипборда, агенти за идентификационни данни и административен достъп на ниво хост. Привилегирован гост на ежедневно използван хост не е независимо надежден, защото хостът може да наблюдава какво прави гостът. Отнасяйте се към виртуалната машина като към контрола, която намалява излагането, а не като към отделен домейн за сигурност.

Отделено физическо устройство премахва зависимостта от хоста и добавя вместо нея задължение за поддръжка.

Идентификационни данни и пътища за прехвърляне

Използвайте индивидуални, отменими самоличности за всеки инженер и всеки клиент и ги дръжте извън личните профили на браузъра и историята на чата. Идентификационни данни, споделени от цял екип, не могат да бъдат приписани, сменяни или отменяни чисто. Определете пътя за прехвърляне на инструменти, файлове и диагностичен изход преди първата сесия, защото спонтанното движение на файлове е начинът, по който една граница тихо престава да бъде граница. Ако трябва да се достигнат двама клиенти едновременно, първо получете одобрение за разделянето на мрежата и самоличността.

Никога не свързвайте две клиентски мрежи през една работна станция, само защото това беше удобно онзи следобед.

Споразумението, което прави това повторяемо

Напишете кратък запис за всеки клиент и го пазете там, където и двете страни могат да го намерят. В него трябва да са посочени одобреното устройство или отдалечена среда и кой я поддържа, разрешените самоличности, системите и операциите, до които те могат да достигнат, пътят за прехвърляне и обичайният начин сесията да приключи.

Пет реда, които някой преглежда, когато човек се присъедини или напусне, бият политика, която никой не може да приложи:

• Одобрено устройство или отдалечена среда, с посочен отговорник за поддръжката.
• Индивидуални самоличности на потребител и устройство, разрешени за поддръжка.
• Системи и операции, до които тези самоличности могат да достигнат.
• Разрешен път за инструменти, файлове и диагностичен изход.
• Процес за приключване на сесията и оторизирана аварийна алтернатива.

Авариен достъп без местене на идентификационни данни

Когато контрола блокира спешен ремонт, пътят е процесът за изключение, а не втори лаптоп със същите идентификационни данни. Одобреното изключение записва кой го е разрешил, какво е облекчено и кога приключва. Преместването на идентификационни данни на ежедневна машина променя границата в най-лошия възможен момент и обикновено остава променена след това. Аварийният маршрут заслужава репетиция, докато нищо не е счупено.

След това приключете сесията, както казва споразумението, и потвърдете, че достъпът наистина е спрял.