Pracovní notebook na osobním VPN: co vlastně prochází

Připojení firemního notebooku k domácí VPN ho umístí na dvě místa současně a ta zajímavá otázka je menší a užitečnější než ta alarmující. Nikdo neprotáhl ethernetový kabel mezi kanceláří a domovem a žádná trasa nedělá z domácí sítě prodloužení firemní podsítě. Existuje jediný koncový bod s přístupem do obou prostředí a tři samostatné mechanismy rozhodují, co mezi nimi skutečně může putovat. Projití těchto tří od koncového bodu ven dává odpověď, podle které může správce jednat, místo sporu o označení.

Začněte u koncového bodu, ne u síťového schématu

Koncový bod je místo, kde se obě připojení potkávají, takže tam revize začíná: které procesy běží, kam se dostanou a kdo je řídí. Schéma, které ukazuje dva oblaky připojené k notebooku, je přesné a nepoužitelné, protože naznačuje spojení, které nemusí existovat. Nahraďte ho seznamem aplikací, které mohou mluvit s každým prostředím, a poznamenejte, pod jakým účtem každá běží. Tento rámec také udržuje revizi přiměřenou, protože notebook se dvěma tunely není stejný objekt jako dvě spojené sítě.

Tento seznam je inventář, ze kterého pracuje zbytek revize. Pokud obsahuje synchronizačního klienta, profil prohlížeče přihlášený do obou prostředí a agenta sestavení s přihlašovacími údaji, má revize už své subjekty.

Tři body přechodu, posouzené odděleně

Přístup aplikací je první bod přechodu a nevyžaduje žádné přeposílání. Karta prohlížeče, synchronizační klient nebo agent sestavení na koncovém bodě mohou číst ze zdroje v jednom prostředí a odesílat data do zdroje ve druhém. Tato schopnost existuje bez ohledu na to, zda operační systém přeposílá pakety mezi rozhraními, a právě tento mechanismus lidé přehlédnou, když usoudí, že žádný most znamená žádné riziko. Čtení seznamu aplikací je proto informativnější než čtení seznamu rozhraní.

Identita a data tvoří druhý bod přechodu. Firemní přihlašovací údaje, relační cookies, stažené dokumenty a práva správy žijí na koncovém bodě a připojení k jiné síti je samo neprozradí. Mění se množina stran, které by mohly koncový bod ovlivnit, dokud drží tyto údaje, což je otázka důvěryhodnosti osobní sítě, nikoli směrování. To je úsudek, který vlastník koncového bodu nemůže učinit sám, a neodpovídá na něj nepřítomnost pravidla přeposílání.

Přeposílání sítě je třetí a jediné, které může notebook proměnit v tranzitní zařízení. Přeposílání IP, sdílení internetového připojení, proxy nebo funkce mostu to dokážou, a každé z nich je konfigurace, která je buď zapnutá, nebo ne. Zkontrolujte tento stav přímo, místo abyste ho odvozovali z přítomnosti klienta VPN. Na spravovaném stroji je odpověď obvykle ne a její ověření promění předpoklad ve fakt, který stojí za zaznamenání.

Žádejte jeden zdroj, ne dvě sítě

Většina skutečných požadavků je užší, než se na první pohled zdá: jedna konzole, jedno sdílené úložiště, jedna interní webová aplikace. Formulujte požadavek takto a nechte vlastníka zdroje rozhodnout, zda na tento koncový bod vůbec patří. Žádost formulovaná jako spojení dvou sítí se těžko schvaluje a snadno odmítá; žádost o jednu pojmenovanou službu má odpověď.

Pokud je odpověď ano, preferujte nejužší podporovanou cestu a udržte ji v rámci stávajících kontrol organizace. Spravovaný druhý profil nebo aplikační záznam s omezeným rozsahem zachovává monitoring a politiku; konkurenční osobní konfigurace je tiše nahradí a nikdo neví, která po příští aktualizaci vyhraje.

Zahrňte vliv DNS a tras

Překlad jmen se změní v okamžiku, kdy je aktivní druhý profil. Osobní klient může prosadit vlastní resolver, prohlížeč může používat vlastní šifrované DNS a tabulka zásad může směrovat interní jména na jiný server, než očekává firemní konfigurace. Nic z toho nevyžaduje přeposílání a kterékoli z toho může poslat interní jméno hostitele na špatné místo.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Zachyťte tyto tři výstupy před připojením druhého profilu a po něm. Rozdíl mezi nimi je efekt, který se skutečně dostane k uživateli, a často je větší než změna směrování popsaná v tiketu. Uchovejte oba záznamy, aby pozdější recenzent viděl, co se změnilo, a ne co bylo zamýšleno.

Ověřte a ponechte cestu ven

Testujte schválenou aplikaci ze skutečného procesu a uživatelského kontextu, ne z administrátorského shellu na stejném stroji. Poté potvrďte, že nesouvisející cíle zůstávají nedosažitelné tam, kde to návrh vyžaduje: hranice, kterou nikdo neotestoval, je hranice, na kterou se nikdo nemůže odvolávat. Odpojení osobního tunelu by mělo obnovit předchozí stav a toto obnovení stojí za kontrolu, dokud se někdo ještě dívá.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Pokyny NIST k architektuře nulové důvěry jsou zde užitečné, protože odstraňují síťovou polohu jako automatický zdroj důvěry, což je přesně onen sporný předpoklad. Otázka není, zda je domácí síť svou povahou důvěryhodná; jde o to, kdo se ke kterému zdroji dostane, z kterého koncového bodu a přes který bod vynucení. Odpovězte na tyto tři a uchovejte důkazy spolu s rozhodnutím.