Navrhnout zařízení pro vzdálený přístup, které správce sítě může schválit

Zařízení pro vzdálený přístup mění síťovou hranici klienta, i když volá směrem ven a nepotřebuje žádné příchozí přesměrování portů. Právě směr ven jej činí snadno instalovatelným a snadno přehlédnutelným. Předložte jej jako žádost o návrh přístupu dříve, než se dostane do sítě. Předkládat jej jako něco, co jste nemuseli zmínit, je způsob, jak se technický úspěch změní v problém smlouvy.

Předpokládejte, že správce sítě položí čtyři otázky: co, kdo, jak daleko a jak to vrátíme zpět.

Žádejte zdroj, ne podsíť

Popište práci termíny, které správce používá: která osoba potřebuje kterou službu, na kterém zařízení a jak dlouho. Žádost omezená na jednu aplikaci na jednom hostiteli se schvaluje snadno. Žádost o podsíť je žádostí o přeskupení něčí segmentace.

Klient už může provozovat schválenou VPN, bránu pro vzdálenou plochu nebo spravovaný kanál podpory, který potřebu pokrývá. Ověřte to nejdříve, protože opětovné použití existující cesty je obvykle nejlevnější odpověď pro obě strany. Pokud se to nehodí, řekněte přesně proč. To srovnání je nejsilnější částí návrhu.

Pokud je zařízení skutečně nutné, přineste jeho vlastníka, zdroj softwaru, proces aktualizací a zamýšlené místo instalace.

Ukažte spojení a kde důvěra končí

Nakreslete zařízení, vzdáleného uživatele, případného zprostředkovatele nebo relé a chráněný zdroj. Označte, kde končí šifrování a kdo spravuje každý koncový bod. Odchozí relace přesto zavádí novou řídicí cestu a v diagramu to bude vidět. Říci, že provoz je šifrovaný, odpovídá na otázku důvěrnosti a na žádnou otázku autorizace.

Uveďte režim výslovně: předávání paketů, aplikační proxy nebo vystavená plocha. Každý má jiné důsledky pro směrování a zabezpečení hostitele a každý selhává jinak, když je zařízení kompromitováno.

Udržujte nesouvisející klientské sítě a vlastní administrační rozhraní zařízení mimo schválený rozsah.

Oddělte identitu uživatele od identity zařízení

Registrace uživatelů, identita zařízení, vícefaktorové ověřování a přihlášení do aplikace jsou čtyři různé kontroly a návrh by měl každou z nich pojmenovat. Sdílené přihlašovací údaje jsou obvyklou zkratkou a nechávají správce neschopného odebrat jednu osobu, aniž by narušil všechny. Přihlášení by mělo zůstat u aplikace. Zařízení ověřuje spojení; služba rozhoduje, co toto spojení smí dělat.

Architektura nulové důvěry NIST je zde užitečná, protože přístup ke zdrojům bere jako výslovné rozhodnutí, nikoli jako důsledek umístění v síti.

Dohodněte obnovu a odstranění před instalací

Správce by měl být schopen přístup rychle vypnout pomocí ovládání, které sám obsluhuje, ne pomocí telefonátu vám. Zapište odvolání přihlašovacích údajů, odstranění zařízení, odpovědnost za aktualizace a datum vypršení nebo revize. Zachovejte místní cestu obnovy, která nezávisí na novém vzdáleném kanálu. Zařízení, které nikdo nedokáže odstranit bez dodavatele, je trvalá závislost převlečená za pohodlí.

Veďte záznamy přiměřeně: schválené identity, rozsah přístupu, významné změny a relevantní výpadky.

Sbírání nesouvisející historie prohlížení k prokázání, že zařízení existuje, není dokladem dobrého provozu a vytváří závazek, který správce nikdy nepožadoval.

Jak vypadá úspěšné schválení

Přijměte návrh společně se správcem s jednou povolenou službou a jedním zdrojem, který musí zůstat zakázán. Ta druhá polovina je část, kterou lidé přeskakují, a je jedinou částí, která dokazuje, že hranice leží tam, kde diagram říká. Otestujte odvolání stejným způsobem, než zařízení ponese skutečnou práci. Pokud je schválení zadrženo, použijte klientem schválenou alternativu nebo práci udělejte lokálně.

Fungující spojení není svolením k vytvoření přístupové cesty.

Zapište schválení s jeho rozsahem a platností a předejte kopii správci. Další osoba, která se té sítě dotkne, bude číst záznam, ne vaši vzpomínku na rozhovor.