Работен VPN в Саудитска Арабия: три въпроса, преди да поискате достъп

Отказът на втори вход или блокирано вътрешно приложение рядко сочат към счупен тунел. Работните VPN налагат три отделни неща: какво може да достигне акаунтът, колко сесии може да държи и кои вътрешни услуги са публикувани за отдалечени потребители. Задайте тези три въпроса по ред, защото всеки има различен собственик. Публикувана рамка като ръководството на NCA за изпълнение на дистанционна работа е полезна рамка за разговора, а не присъда за нечия правна позиция.

Първо: какво може да достигне този акаунт?

Правата за достъп се определят от чувствителността на системата, нивото на достъп и разрешения тип устройство и това са организационни решения, а не свойства на тунела. Притежаването на паролата отговаря само дали връзката може да бъде установена. То не казва дали акаунтът може да отвори документ, да администрира сървър или да промени контролер. Искайте предвидения ресурс и операция, а не достъп до мрежата като цяло.

Заявка, формулирана като дестинация, се одобрява по-лесно от заявка, формулирана като усещане. Затова първият въпрос е за ресурса, а не за мрежата.

NCA 2-2-1-1 обвързва правата за достъп точно с тези три измерения, затова отговорът трябва да назове система и операция. Същата логика се появява в указанията за нулево доверие: местоположението в мрежата не е оторизация. Потребител в корпоративния VPN и потребител на домашна връзка могат и двамата да бъдат удостоверени, а приложението пак решава какво може всеки.

Второ: колко сесии могат да работят едновременно?

Едновременният отдалечен достъп е отделен контрол и NCA 2-2-1-2 го покрива заедно с път за одобрение на изключения. Организациите често го ограничават, понякога до една активна сесия на акаунт. Лимитът е число от политиката, зададено от оператора, а не константа на протокола, затова никой извън организацията не може да ви каже стойността. Застояла сесия, която никой не може да затвори, е оперативен проблем, за който си струва да се съобщи отделно.

Ако втори лаптоп бъде отказан, първата сесия е обичайното обяснение. Питайте как операторът идентифицира сесиите и как се затварят застоялите; някои системи прекратяват неактивна сесия, други я пазят, докато не бъде изрично прекратена. Не преинсталирайте клиента, не сменяйте профила и не променяйте изходите, преди да дойде този отговор.

Трето: кои вътрешни услуги са публикувани?

Отдалеченият достъп обикновено публикува определен набор от услуги, протоколи и портове и NCA 2-4-1-1 държи този набор до това, което дистанционната работа наистина изисква. Списъкът е по-малък от частната мрежа и това е умишлено. Питайте коя услуга и порт ви трябват, вместо да искате широка достъпност, защото широката заявка е по-трудна за обосноваване и много по-трудна за преглед по-късно.

Заявката до поддръжката трябва да носи ролята на акаунта, одобреното устройство, целевата услуга, времето на отказа и несекретния текст на грешката. Изпратете я по канала на организацията, а не до първия, който отговори в групов чат. Това е достатъчно собственикът да провери политиката и журналите. Пароли, кодове за възстановяване и частни ключове не им е мястото там.

Какво да правите, когато отговорът е „не“

Отказът често е несъответствие на обхвата, а не присъда за сигурността. Услугата може да е публикувана само за офис адреси или ролята може да няма операцията, макар тунелът да работи. Питайте кой от трите въпроса е пропаднал и поправката обикновено става очевидна. Ако е нужно изключение, помолете собственика да го запише, вместо да го заобикаляте.

Не заемайте сесията на колега, не изключвайте проверка на клиента и не насочвайте трафик през неодобрен изход, за да мине тест. Всяко от тези заменя одитируем отказ с успех, който никой не може да одитира, и следващият преглед ще намери разликата. Одобреното изключение е по-бавно и издържа одит.

Въпросите, които да отнесете до собственика

Запишете ги преди разговора: за кои ресурси и операции е одобрен този акаунт, каква е политиката за едновременни сесии и как се изчистват застояли сесии, и кои вътрешни услуги и портове са публикувани за отдалечени потребители. Помолете собственика да потвърди текущата приложимост, защото ръководствата се преразглеждат и вътрешната политика може да е по-строга от публикуваната базова линия. Добавете изискването за устройство, ако организацията има такова.

Рамката за контрол ви помага да задавате точни въпроси. Тя не разрешава дейност и не замества отговора на оператора.

Върнете отговорите на същия собственик, когато се предлага следваща промяна. Това превръща еднократното одобрение в политика, която някой поддържа.