Radni laptop na ličnom VPN-u: šta zapravo prelazi

Povezivanje službenog laptopa na kućni VPN stavlja ga na dva mjesta istovremeno, a zanimljivo pitanje je manje i korisnije od alarmantnog. Niko nije provukao Ethernet kabl između ureda i kuće, i nijedna ruta ne čini kućnu mrežu produžetkom korporativne podmreže. Ono što postoji je jedna krajnja tačka s pristupom oba okruženja, a tri odvojena mehanizma odlučuju šta se zapravo može kretati između njih. Prolazak kroz ta tri, od krajnje tačke prema van, daje odgovor na koji administrator može postupiti umjesto rasprave o oznakama.

Počnite od krajnje tačke, ne od mrežnog dijagrama

Krajnja tačka je mjesto gdje se obje veze sreću, pa tu počinje pregled: koji procesi rade, do čega mogu doći i ko njima upravlja. Dijagram koji prikazuje dva oblaka povezana s laptopom je tačan i beskoristan, jer implicira vezu koja možda ne postoji. Zamijenite ga popisom aplikacija koje mogu razgovarati sa svakim okruženjem i zabilježite pod kojim računom radi svaka. Takav okvir drži i pregled srazmjernim, jer laptop s dva tunela nije isti objekat kao dvije spojene mreže.

Taj popis je inventar iz kojeg radi ostatak pregleda. Ako sadrži klijent za sinhronizaciju, profil preglednika prijavljen u oba okruženja i agenta za izgradnju s akreditivima, pregled već ima svoje subjekte.

Tri tačke prelaska, pregledane odvojeno

Pristup aplikacija je prva tačka prelaska i ne zahtijeva nikakvo prosljeđivanje. Kartica preglednika, klijent za sinhronizaciju ili agent za izgradnju na krajnjoj tački mogu čitati iz resursa u jednom okruženju i slati podatke u resurs u drugom. Ta sposobnost postoji bez obzira na to da li operativni sistem prosljeđuje pakete između interfejsa, i to je mehanizam koji ljudi propuste kada zaključe da nema mosta znači nema rizika. Zato je čitanje popisa aplikacija informativnije od čitanja popisa interfejsa.

Identitet i podaci čine drugu tačku prelaska. Korporativni akreditivi, kolačići sesije, preuzeti dokumenti i prava upravljanja žive na krajnjoj tački, a pridruživanje drugoj mreži ih samo po sebi ne otkriva. Ono što se mijenja je skup strana koje bi mogle uticati na krajnju tačku dok ona drži te akreditive, a to je pitanje o povjerljivosti lične mreže, a ne o rutiranju. To je prosudba koju vlasnik krajnje tačke ne može donijeti sam, i na nju ne odgovara odsustvo pravila prosljeđivanja.

Mrežno prosljeđivanje je treće i jedino koje laptop može pretvoriti u tranzitni uređaj. IP prosljeđivanje, dijeljenje internet veze, proxy ili funkcija premosnice mogu to učiniti, a svako je konfiguracija koja je ili uključena ili nije. Provjerite to stanje direktno umjesto da ga izvodite iz prisustva VPN klijenta. Na upravljanoj mašini odgovor je obično ne, a njegova provjera pretvara pretpostavku u činjenicu koju vrijedi zapisati.

Tražite jedan resurs, ne dvije mreže

Većina stvarnih zahtjeva uža je nego što se na prvi pogled čini: jedna konzola, jedan dijeljeni folder, jedna interna web aplikacija. Formulišite zahtjev tako i pustite vlasnika resursa da odluči pripada li on uopšte ovoj krajnjoj tački. Zahtjev sročen kao spajanje dvije mreže teško je odobriti i lako odbiti; zahtjev za jednom imenovanom uslugom ima odgovor.

Ako je odgovor da, preferirajte najuži podržani put i zadržite ga unutar postojećih kontrola organizacije. Upravljani drugi profil ili aplikacijski unos ograničenog obima čuva nadzor i politiku; konkurentna lična konfiguracija ih tiho zamjenjuje i niko ne zna koja pobjeđuje nakon sljedećeg ažuriranja.

Uključite efekte DNS-a i ruta

Razrješavanje imena mijenja se u trenutku kada drugi profil postane aktivan. Lični klijent može nametnuti vlastiti razrješivač, preglednik može koristiti vlastiti šifrovani DNS, a tabela politike može usmjeriti interna imena na drugi server od onog koji korporativna konfiguracija očekuje. Ništa od toga ne zahtijeva prosljeđivanje, a bilo šta od toga može poslati interno ime hosta na pogrešno mjesto.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Snimite ta tri izlaza prije i poslije povezivanja drugog profila. Razlika među njima je efekat koji stvarno stiže do korisnika i često je veći od promjene rutiranja koju opisuje tiket. Sačuvajte oba snimka kako bi kasniji pregledač vidio šta se promijenilo, a ne šta je bila namjera.

Provjerite i zadržite izlaz

Testirajte odobrenu aplikaciju iz stvarnog procesa i korisničkog konteksta, a ne iz administratorske ljuske na istoj mašini. Zatim potvrdite da nepovezane destinacije ostaju nedostupne tamo gdje dizajn to zahtijeva: granica koju niko nije testirao je granica na koju se niko ne može pozvati. Isključivanje ličnog tunela treba vratiti prethodno stanje, a to vraćanje vrijedi provjeriti dok neko još gleda.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST smjernice o arhitekturi nultog povjerenja korisne su ovdje jer uklanjaju mrežnu lokaciju kao automatski izvor povjerenja, a to je upravo pretpostavka o kojoj je riječ. Pitanje nije je li kućna mreža po prirodi pouzdana; pitanje je ko može doći do kojeg resursa, s koje krajnje tačke i kroz koju tačku provođenja. Odgovorite na ta tri i čuvajte dokaze uz odluku.