Pristup klijenata putem VPN-a: dajte privilegovanom radu vlastiti uređaj

Profil veze kaže Production, tunel se podiže i svaki prozor na radnoj površini sada može doći do sistema klijenta. Ništa u tom slijedu nije odvojilo privilegovanu sesiju od susjedne kartice preglednika. VPN profil je naziv plus skup ruta; granica do koje vam je zaista stalo gradi se od identiteta uređaja, kontrolisanog okruženja za izvršavanje i puta za akreditive. To troje se sprovodi na različitim mjestima, zato dodavanje jednog i preskakanje ostalih daje dizajn koji izgleda usklađeno, a nije.

Naziv profila nije granica

Klijent primjenjuje rute i DNS konfiguraciju kada se tunel podigne, a sve što se poslije izvršava na tom računaru nasljeđuje oboje.

Naziv u padajućem meniju mijenja šta operater prepoznaje, a ne šta operativni sistem dozvoljava.

Identitet uređaja je ono što mrežni prolaz može provjeriti

Prolaz koji podržava certifikate uređaja ili provjere stanja autentifikuje i računar i osobu. To je sloj koji može odbiti vezu sa neupravljanog prenosivog računara prije nego što iko otkuca lozinku. On vam daje i nešto konkretno za opoziv kada se uređaj izgubi. Kopiranje jednog certifikata na tri računara uklanja upravo to svojstvo, zato životni ciklus certifikata pripada sporazumu, a ne dijeljenoj fascikli.

Klijent odlučuje koje od tih kontrola njegova politika zahtijeva, a virtuelna mašina koju je napravio dobavljač možda uopšte ne zadovoljava provjeru stanja.

Gdje granica virtuelne mašine propušta

Virtuelna mašina drži klijentske alate i stanje mreže zajedno i to je zaista korisno. Ona takođe zavisi od svog hosta i od hipervizora, a nekoliko pogodnosti prelazi granicu: dijeljene fascikle, integracija međuspremnika, agenti za akreditive i administrativni pristup na nivou hosta. Privilegovani gost na hostu koji se svakodnevno koristi nije nezavisno pouzdan, jer host može posmatrati šta gost radi. Tretirajte virtuelnu mašinu kao kontrolu koja smanjuje izloženost, ne kao odvojen bezbjednosni domen.

Namjenski fizički uređaj uklanja zavisnost od hosta i na njeno mjesto dodaje obavezu održavanja.

Akreditivi i putevi prenosa

Koristite pojedinačne, opozive identitete za svakog inženjera i svakog klijenta i držite ih podalje od ličnih profila preglednika i istorije ćaskanja. Akreditive koje dijeli cijeli tim ne mogu se čisto pripisati, rotirati ni opozvati. Odredite put prenosa za alate, datoteke i dijagnostički izlaz prije prve sesije, jer je spontano prebacivanje datoteka način na koji granica tiho prestaje da bude granica. Ako se dvoje klijenata mora dosegnuti istovremeno, prvo ishodite odobrenje za razdvajanje mreže i identiteta.

Nikada ne povezujte dvije klijentske mreže kroz jednu radnu stanicu samo zato što je to tog popodneva bilo zgodno.

Sporazum koji ovo čini ponovljivim

Napišite kratak zapis po klijentu i čuvajte ga gdje ga obje strane mogu naći. U njemu treba navesti odobreni uređaj ili udaljeno okruženje i ko ga održava, dozvoljene identitete, sisteme i operacije do kojih mogu doći, put prenosa i uobičajen način na koji se sesija završava.

Pet redova koje neko pregleda kada osoba dođe ili ode pobjeđuju politiku koju niko ne može primijeniti:

• Odobreni uređaj ili udaljeno okruženje, sa imenovanim vlasnikom održavanja.
• Pojedinačni korisnički i identiteti uređaja dozvoljeni za podršku.
• Sistemi i operacije do kojih ti identiteti mogu doći.
• Dozvoljeni put za alate, datoteke i dijagnostički izlaz.
• Proces završetka sesije i ovlaštena hitna alternativa.

Hitni pristup bez premještanja akreditiva

Kada kontrola blokira hitnu popravku, put je proces izuzetka, a ne drugi prenosivi računar sa istim akreditivima. Odobreni izuzetak bilježi ko ga je odobrio, šta je ublaženo i kada prestaje. Premještanje akreditiva na svakodnevni računar mijenja granicu u najgorem mogućem trenutku i obično poslije ostane promijenjena. Hitna ruta zaslužuje probu dok ništa nije pokvareno.

Zatim završite sesiju kako sporazum kaže i potvrdite da je pristup zaista prestao.