VPN ar gyfer swyddfa fach: cadwch ef oddi ar y rheolydd parth

Mae tair amod yn penderfynu a ddylai unig weinydd Windows y swyddfa hefyd derfynu'r VPN: faint o feddalwedd sy'n wynebu'r rhyngrwyd yr ydych yn barod i'w redeg ar y cyfeiriadur, a allwch ddilysu defnyddwyr o bell heb y rôl honno, a beth sy'n digwydd i'ch mynediad rheoli pan fydd y gwesteiwr yn ailgychwyn. Os oes ateb gwael i unrhyw un o'r tri, gwahanwch y rolau. Mae'r swyddfa'n fach yn newid y gyllideb, nid y risg.

Mae pob peiriant yn y parth yn ymddiried yn y rheolydd parth; mae unrhyw un ar y rhyngrwyd yn gallu cyrraedd porth VPN. Yr anghymesuredd hwnnw yw'r ddadl gyfan.

Dwy swydd â dau broffil datguddiad gwahanol

Mae'r porth yn derbyn cysylltiadau o'r tu allan, felly mae ei wrandawr, ei bentyrrau TLS a'i arwyneb dilysu i gyd yn gyrraeddadwy o rwydweithiau annibynadwy. Mae'r cyfeiriadur yn dal awdurdod y mae peiriannau eraill yn ymddiried ynddo, a dyna pam mae canllawiau caledu Microsoft yn trin rôl rheolydd parth a'i amgylchedd gwesteiwr fel rhai arbennig o sensitif. Mae pob gwasanaeth a ychwanegir at y gwesteiwr hwnnw yn etifeddu safle ymddiriedaeth y cyfeiriadur tra'n ychwanegu ei arwyneb ymosod ei hun. Nid yw hwylustod gosod yn ffin ymddiriedaeth.

Nid yw gwahanu'r rolau yn dileu'r dibyniaethau. Mae defnyddwyr o bell yn dal i fod angen dilysu, llwybrau, DNS a rheolau mynediad, ac nid yw porth sy'n eu hepgor yn fwy diogel, dim ond yn llai defnyddiol.

Dilysu heb rôl y cyfeiriadur

Gall porth ddilysu tystlythyrau trwy integreiddiad allanol a gefnogir heb westeio'r cyfeiriadur ei hun. Beth bynnag yw'r integreiddiad hwnnw, rhoddwch iddo gyfrif y mae ei hawliau'n cyfateb i'r pwrpas: darllen y priodoleddau sydd eu hangen i ddilysu, dim mwy. Nid yw derbyn defnyddwyr VPN byth yn gofyn gwneud eu cyfrifon cyffredin yn weinyddwyr parth, ac nid yw byth yn gofyn i'r porth ddal copi o'r cyfeiriadur.

Yna cwmpaswch y llwybrau rhwydwaith y mae'r cleient o bell eu hangen mewn gwirionedd. Mae mynediad i un gwasanaeth ffeiliau mewnol, ynghyd â'r gwasanaethau datrys enwau a hunaniaeth y mae'r llif gwaith hwnnw'n dibynnu arnynt, yn set ddiffiniedig o lwybrau. Nid yw'n rheswm i ganiatáu pob porth rheolydd parth na phob rhyngwyneb gweinyddol o'r pwll VPN.

Un gwesteiwr yw un parth methiant o hyd

Mae dau westai ar un hypervisor yn gwahanu eu cyfluniad system weithredu ac nid ydynt yn gwahanu eu tynged. Mae gweinyddwyr yr hypervisor, y newid rhithwir, y storfa a'r copïau wrth gefn yn parhau'n rhan o'r cynllun, ac mae ailgychwyn y gwesteiwr yn dileu'r ddwy wasanaeth ar unwaith. Galw hynny'n argaeledd uchel oherwydd bod y diagram yn dangos dau VM yw camgymeriad cyffredin a chostus. Os yw'r unig ffordd yn ôl yn mynd trwy'r VPN ar y gwesteiwr hwnnw, mae methiant yn cymryd y cysylltiad sydd ei angen i'w atgyweirio.

Felly cynlluniwch lwybr rheoli annibynnol nad yw'n dibynnu ar y twnnel, ac ysgrifennwch beth sy'n parhau ar gael yn ystod cynnal a chadw. Amserlennwch ddiweddariadau'r porth a chynnal a chadw'r cyfeiriadur ar wahân, gan nodi pa ddefnyddwyr neu gymwysiadau y mae pob tarfu yn eu cyffwrdd.

Nid yw ffenestr gynnal a chadw sy'n gofyn bod y VPN i fyny er mwyn trwsio'r VPN yn ffenestr gynnal a chadw.

Symudwch ef heb gloi eich hun allan

Os yw'r rolau eisoes yn rhannu un gosodiad, osgowch ymfudiad o bell brysiog. Rhestrwch yr hyn y mae'r porth yn berchen arno heddiw: cyfeiriadau, rheolau anfon ymlaen, NAT, gosodiadau DNS, cyfluniad dilysu ac unrhyw wasanaethau a gyhoeddir. Paratowch y disodliad a ffordd yn ôl cyn symud y gwrandawr neu newid llwybr diofyn. Yna profwch waith gwirioneddol defnyddiwr o bell cyffredin trwy'r ffin newydd, a chadarnhewch fod mynediad gweinyddol diangen yn dal i fethu.

Nid diagram harddach yw'r nod. Y gallu i atgyweirio neu ailadeiladu'r VPN heb gyffwrdd â'r blwch sy'n angori ymddiriedaeth y cyfeiriadur ar gyfer y swyddfa gyfan ydyw. Mae'r rhain yn nodau gwahanol, a dim ond un ohonynt sydd angen ail weinydd.

Cofnodwch y penderfyniad naill ffordd neu'r llall, gan gynnwys yr amodau a fyddai'n ei ailagor. Mae swyddfa fach yn tyfu, ac efallai na fydd yr ateb a oedd yn addas i un gweinydd yn addas i'r nesaf.