Работен лаптоп в лична VPN: какво всъщност преминава

Свързването на служебен лаптоп с домашна VPN го поставя на две места едновременно и интересният въпрос е по-малък и по-полезен от тревожния. Никой не е прекарал Ethernet кабел между офиса и дома и нито един маршрут не прави домашната мрежа продължение на корпоративната подмрежа. Съществува една крайна точка с достъп до двете среди и три отделни механизма решават какво действително може да преминава между тях. Проследяването на тези три от крайната точка навън дава отговор, по който администраторът може да действа, вместо спор за етикети.

Започнете от крайната точка, а не от мрежовата диаграма

Крайната точка е мястото, където се срещат двете връзки, затова прегледът започва оттам: кои процеси работят, до какво могат да достигнат и кой ги управлява. Диаграма, която показва два облака, свързани с лаптоп, е точна и безполезна, защото предполага връзка, която може и да не съществува. Заменете я със списък на приложенията, които могат да говорят с всяка среда, и отбележете под кой акаунт работи всяко от тях. Тази рамка също запазва прегледа съразмерен, тъй като лаптоп с два тунела не е същият обект като две свързани мрежи.

Този списък е инвентарът, от който работи останалата част от прегледа. Ако в него има клиент за синхронизация, профил на браузър, вписан в двете среди, и агент за изграждане с идентификационни данни, прегледът вече има своите обекти.

Три точки на пресичане, разгледани поотделно

Достъпът на приложенията е първата точка на пресичане и не изисква никакво препращане. Раздел на браузър, клиент за синхронизация или агент за изграждане на крайната точка могат да четат от ресурс в едната среда и да подават данни към ресурс в другата. Тази възможност съществува независимо дали операционната система препраща пакети между интерфейсите, и именно този механизъм хората пропускат, когато заключат, че липсата на мост означава липса на риск. Затова четенето на списъка с приложения е по-информативно от четенето на списъка с интерфейси.

Идентичността и данните образуват втората точка на пресичане. Корпоративните идентификационни данни, бисквитките на сесията, изтеглените документи и правата за управление живеят на крайната точка и присъединяването към друга мрежа не ги разкрива само по себе си. Това, което се променя, е наборът от страни, които биха могли да влияят на крайната точка, докато тя държи тези данни, а това е въпрос за надеждността на личната мрежа, а не за маршрутизирането. Това е преценка, която собственикът на крайната точка не може да направи сам, и на нея не отговаря липсата на правило за препращане.

Мрежовото препращане е третото и единственото, което може да превърне лаптопа в транзитно устройство. IP препращане, споделяне на интернет връзка, прокси или функция за мост могат да го направят и всяко от тях е конфигурация, която или е включена, или не. Проверете това състояние директно, вместо да го извеждате от наличието на VPN клиент. На управлявана машина отговорът обикновено е не и проверката му превръща предположението във факт, който си струва да бъде записан.

Искайте един ресурс, не две мрежи

Повечето реални изисквания са по-тесни, отколкото изглеждат първоначално: една конзола, един файлов ресурс, едно вътрешно уеб приложение. Формулирайте изискването по този начин и оставете собственика на ресурса да реши дали то изобщо принадлежи на тази крайна точка. Заявка, формулирана като свързване на две мрежи, е трудна за одобряване и лесна за отказ; заявката за една посочена услуга има отговор.

Ако отговорът е да, предпочитайте най-тесния поддържан път и го задържайте в съществуващите контроли на организацията. Управляван втори профил или ограничен запис за приложение запазва мониторинга и политиката; конкурентна лична конфигурация тихо ги заменя и никой не знае коя печели след следващата актуализация.

Включете ефектите върху DNS и маршрутите

Разрешаването на имена се променя в момента, в който вторият профил е активен. Личен клиент може да наложи свой преобразувател, браузър може да използва собствен шифрован DNS, а таблица на политиката може да насочи вътрешни имена към различен сървър от очаквания от корпоративната конфигурация. Никое от тези не изисква препращане и всяко от тях може да изпрати вътрешно име на хост на грешното място.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Запишете тези три изхода преди и след свързването на втория профил. Разликата между тях е ефектът, който действително достига до потребителя, и често е по-голям от промяната в маршрутизирането, която описва заявката. Запазете и двата записа, за да може по-късен проверяващ да види какво се е променило, а не какво е било предвидено.

Проверете и оставете изход

Тествайте одобреното приложение от реалния процес и потребителски контекст, а не от администраторска обвивка на същата машина. След това потвърдете, че несвързаните дестинации остават недостъпни там, където проектът го изисква: граница, която никой не е тествал, е граница, за която никой не може да претендира. Прекъсването на личния тунел трябва да възстанови предишното състояние и това възстановяване си струва да бъде проверено, докато някой още наблюдава.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Насоките на NIST за архитектура с нулево доверие са полезни тук, защото премахват мрежовото местоположение като автоматичен източник на доверие, което е точно предположението под въпрос. Въпросът не е дали домашната мрежа е надеждна по природа; а кой до кой ресурс може да достигне, от коя крайна точка и през коя точка за контрол. Отговорете на тези три и пазете доказателствата заедно с решението.