VPN per a una oficina petita: manteniu-lo fora del controlador de domini

Tres condicions decideixen si l’únic servidor Windows de l’oficina també ha de terminar la VPN: quant programari exposat a internet esteu disposats a executar al directori, si podeu autenticar usuaris remots sense aquest paper, i què passa amb el vostre accés de gestió quan l’amfitrió es reinicia. Si alguna de les tres té una mala resposta, separeu els papers. Que l’oficina sigui petita canvia el pressupost, no el risc.

Cada màquina del domini confia en un controlador de domini; qualsevol persona d’internet pot arribar a una passarel·la VPN. Aquesta asimetria és tot l’argument.

Dues feines amb dos perfils d’exposició diferents

La passarel·la accepta connexions de fora, de manera que el seu oient, la seva pila TLS i la seva superfície d’autenticació són tots accessibles des de xarxes no fiables. El directori té una autoritat en què confien altres màquines, i per això les directrius d’enduriment de Microsoft tracten el paper de controlador de domini i el seu entorn d’allotjament com a especialment sensibles. Cada servei afegit a aquest amfitrió hereta la posició de confiança del directori i afegeix la seva pròpia superfície d’atac. La comoditat d’instal·lació no és una frontera de confiança.

Separar els papers no elimina les dependències. Els usuaris remots encara necessiten autenticació, rutes, DNS i regles d’accés, i una passarel·la que se les salta no és més segura, només menys útil.

Autenticació sense el paper de directori

Una passarel·la pot validar credencials mitjançant una integració externa compatible sense allotjar el directori mateix. Sigui quina sigui aquesta integració, doneu-li un compte els drets del qual coincideixin amb la finalitat: llegir els atributs necessaris per autenticar, res més. Admetre usuaris de VPN no requereix mai convertir els seus comptes ordinaris en administradors de domini, ni requereix mai que la passarel·la tingui una còpia del directori.

A continuació, acoteu les rutes de xarxa que el client remot necessita realment. L’accés a un servei de fitxers intern, més els serveis de resolució de noms i d’identitat dels quals depèn aquest flux de treball, és un conjunt definit de rutes. No és cap motiu per permetre tots els ports del controlador de domini ni totes les interfícies administratives des del pool de VPN.

Un sol amfitrió continua sent un sol domini de fallada

Dos convidats en un sol hipervisor separen la seva configuració de sistema operatiu i no separen el seu destí. Els administradors de l’hipervisor, la commutació virtual, l’emmagatzematge i les còpies de seguretat continuen formant part del disseny, i un reinici de l’amfitrió elimina tots dos serveis alhora. Anomenar-ho alta disponibilitat perquè el diagrama mostra dues VM és un error comú i car. Si l’única ruta de tornada passa per la VPN en aquest amfitrió, una fallada s’emporta la connexió necessària per reparar-la.

Per tant, planifiqueu una via de gestió independent que no depengui del túnel, i anoteu què queda disponible durant el manteniment. Programeu les actualitzacions de la passarel·la i el manteniment del directori per separat, indicant quins usuaris o aplicacions toca cada interrupció.

Una finestra de manteniment que exigeix que la VPN estigui activa per arreglar la VPN no és una finestra de manteniment.

Moveu-lo sense quedar-vos bloquejats fora

Si els papers ja comparteixen una instal·lació, eviteu una migració remota precipitada. Inventarieu què posseeix avui la passarel·la: adreces, regles de reenviament, NAT, paràmetres de DNS, configuració d’autenticació i qualsevol servei publicat. Prepareu tant la substitució com una via de tornada abans de moure l’oient o alterar una ruta predeterminada. Després proveu la feina real d’un usuari remot ordinari a través de la nova frontera, i confirmeu que l’accés administratiu innecessari encara falla.

L’objectiu no és un diagrama més bonic. És la capacitat de reparar o reconstruir la VPN sense tocar la caixa que ancora la confiança del directori per a tota l’oficina. Són objectius diferents, i només un d’ells necessita un segon servidor.

Registreu la decisió en qualsevol cas, incloses les condicions que la reobririen. Una oficina petita creix, i la resposta que encaixava amb un servidor potser no encaixarà amb el següent.