VPN pro malou kancelář: držte ji mimo řadič domény

O tom, zda jediný Windows server kanceláře má také ukončovat VPN, rozhodují tři podmínky: kolik softwaru obráceného do internetu jste ochotni provozovat na adresáři, zda dokážete ověřovat vzdálené uživatele bez této role a co se stane s vaším správcovským přístupem při restartu hostitele. Pokud má některá ze tří špatnou odpověď, role oddělte. To, že je kancelář malá, mění rozpočet, ne riziko.

Řadiči domény důvěřuje každý stroj v doméně; brána VPN je dosažitelná pro kohokoli na internetu. Tato asymetrie je celý argument.

Dvě práce se dvěma různými profily vystavení

Brána přijímá spojení zvenčí, takže její posluchač, zásobník TLS i povrch pro ověřování jsou dostupné z nedůvěryhodných sítí. Adresář drží autoritu, které důvěřují ostatní stroje, a proto pokyny Microsoftu k hardeningu považují roli řadiče domény a jeho hostitelské prostředí za zvláště citlivé. Každá služba přidaná na tohoto hostitele dědí trust pozici adresáře a přidává vlastní útočný povrch. Pohodlí instalace není hranice důvěry.

Oddělení rolí neodstraňuje závislosti. Vzdálení uživatelé stále potřebují ověřování, trasy, DNS a pravidla přístupu, a brána, která je přeskakuje, není bezpečnější, jen méně užitečná.

Ověřování bez role adresáře

Brána může ověřovat přihlašovací údaje prostřednictvím podporované externí integrace, aniž by hostovala samotný adresář. Ať je tato integrace jakákoli, dejte jí účet, jehož práva odpovídají účelu: čtení atributů potřebných k ověření, nic víc. Přijímání uživatelů VPN nikdy nevyžaduje, aby se jejich běžné účty staly správci domény, a nikdy nevyžaduje, aby brána držela kopii adresáře.

Poté vymezte síťové cesty, které vzdálený klient skutečně potřebuje. Přístup k jedné interní souborové službě plus služby překladu jmen a identity, na nichž tento pracovní postup závisí, je definovaná množina cest. Není to důvod povolit každý port řadiče domény nebo každé administrativní rozhraní z fondu VPN.

Jeden hostitel je stále jedna doména selhání

Dva hosté na jednom hypervisoru oddělují konfiguraci svých operačních systémů a neoddělují svůj osud. Správci hypervisoru, virtuální přepínání, úložiště a zálohy zůstávají součástí návrhu a restart hostitele odstraní obě služby najednou. Nazývat to vysokou dostupností proto, že diagram ukazuje dva VM, je častá a drahá chyba. Pokud jediná cesta zpět vede přes VPN na tomto hostiteli, výpadek vezme spojení potřebné k jeho opravě.

Naplánujte tedy nezávislou cestu správy, která nezávisí na tunelu, a zapište, co zůstane dostupné během údržby. Aktualizace brány a údržbu adresáře plánujte odděleně a poznamenejte, kterých uživatelů nebo aplikací se každé přerušení dotkne.

Okno údržby, které vyžaduje, aby VPN běžela, aby se VPN opravila, není okno údržby.

Přesuňte to, aniž byste se zamkli venku

Pokud role už sdílejí jednu instalaci, vyhněte se ukvapené vzdálené migraci. Zinventarizujte, co brána dnes vlastní: adresy, pravidla přesměrování, NAT, nastavení DNS, konfiguraci ověřování a všechny publikované služby. Připravte náhradu i cestu zpět, než přesunete posluchač nebo změníte výchozí trasu. Poté otestujte skutečnou práci běžného vzdáleného uživatele přes novou hranici a potvrďte, že zbytečný administrativní přístup stále selhává.

Cílem není hezčí diagram. Je to schopnost opravit nebo přestavět VPN, aniž byste se dotkli krabice, která ukotvuje důvěru adresáře pro celou kancelář. To jsou různé cíle a jen jeden z nich potřebuje druhý server.

Rozhodnutí zaznamenejte tak či tak, včetně podmínek, které by je znovu otevřely. Malá kancelář roste a odpověď, která seděla jednomu serveru, nemusí sedět dalšímu.