VPN за малък офис: дръжте го далеч от контролера на домейна

Три условия решават дали единственият Windows сървър на офиса трябва да прекратява и VPN: колко обърнат към интернет софтуер сте готови да пускате върху директорията, дали можете да удостоверявате отдалечени потребители без тази роля и какво се случва с административния ви достъп, когато хостът се рестартира. Ако някое от трите има лош отговор, разделете ролите. Малкият офис променя бюджета, не риска.

Всеки компютър в домейна се доверява на контролера на домейна; VPN шлюзът е достъпен за всеки в интернет. Тази асиметрия е целият аргумент.

Две задачи с два различни профила на излагане

Шлюзът приема връзки отвън, затова неговият слушател, TLS стекът и повърхността за удостоверяване са достъпни от недоверени мрежи. Директорията държи власт, на която други машини се доверяват, затова указанията на Microsoft за затягане третират ролята контролер на домейн и средата му на хостване като особено чувствителни. Всяка услуга, добавена към този хост, наследява позицията на доверие на директорията и добавя собствена повърхност за атака. Удобството на инсталирането не е граница на доверие.

Разделянето на ролите не премахва зависимостите. Отдалечените потребители все още се нуждаят от удостоверяване, маршрути, DNS и правила за достъп, а шлюз, който ги пропуска, не е по-сигурен, само по-малко полезен.

Удостоверяване без ролята на директория

Шлюзът може да проверява идентификационни данни чрез поддържана външна интеграция, без да хоства самата директория. Каквато и да е тази интеграция, дайте ѝ акаунт, чиито права отговарят на целта: четене на атрибутите, нужни за удостоверяване, и нищо повече. Допускането на VPN потребители никога не изисква обикновените им акаунти да стават администратори на домейна и никога не изисква шлюзът да държи копие на директорията.

След това ограничете мрежовите пътища, от които отдалеченият клиент наистина се нуждае. Достъпът до една вътрешна файлова услуга, плюс услугите за разрешаване на имена и идентичност, от които зависи този работен процес, е определен набор от пътища. Това не е причина да разрешавате всеки порт на контролера на домейна или всеки административен интерфейс от VPN пула.

Един хост все още е един домейн на отказ

Две гост системи на един хипервизор разделят конфигурацията на операционните си системи и не разделят съдбата си. Администраторите на хипервизора, виртуалното превключване, съхранението и резервните копия остават част от дизайна, а рестарт на хоста премахва двете услуги наведнъж. Да наречете това висока наличност, защото диаграмата показва две VM, е често срещана и скъпа грешка. Ако единственият път обратно минава през VPN на този хост, отказът отнема връзката, нужна за поправянето му.

Затова планирайте независим път за управление, който не зависи от тунела, и запишете какво остава достъпно по време на поддръжка. Планирайте актуализациите на шлюза и поддръжката на директорията отделно, отбелязвайки кои потребители или приложения засяга всяко прекъсване.

Прозорец за поддръжка, който изисква VPN да работи, за да се поправи VPN, не е прозорец за поддръжка.

Преместете го, без да се заключите отвън

Ако ролите вече споделят една инсталация, избягвайте прибързана отдалечена миграция. Направете опис на това, което шлюзът притежава днес: адреси, правила за препращане, NAT, DNS настройки, конфигурация за удостоверяване и всякакви публикувани услуги. Подгответе както замяната, така и път назад, преди да преместите слушателя или да промените маршрут по подразбиране. След това тествайте реалната работа на обикновен отдалечен потребител през новата граница и потвърдете, че ненужният административен достъп все още се проваля.

Целта не е по-красива диаграма. Тя е способността да поправите или преизградите VPN, без да пипате кутията, която закотвя доверието на директорията за целия офис. Това са различни цели и само една от тях се нуждае от втори сървър.

Запишете решението така или иначе, включително условията, които биха го отворили отново. Малкият офис расте и отговорът, подхождащ на един сървър, може да не подхожда на следващия.