Laptopa gwaith ar VPN bersonol: beth sy'n croesi mewn gwirionedd

Mae ymuno â laptopa cwmni â VPN cartref yn ei osod mewn dau le ar unwaith, a'r cwestiwn diddorol sy'n llai ac yn fwy defnyddiol na'r un brawychus. Ni osododd neb gebl Ethernet rhwng y swyddfa a'r tŷ, ac nid oes unrhyw lwybr yn gwneud y rhwydwaith cartref yn estyniad i is-rwydwaith y cwmni. Yr hyn sydd yno yw un diweddbwynt â mynediad i'r ddau amgylchedd, a thri mecanwaith ar wahân sy'n penderfynu beth all symud rhyngddynt mewn gwirionedd. Mae cerdded y tri hynny o'r diweddbwynt tuag allan yn rhoi ateb y gall gweinyddwr weithredu arno yn lle dadl am labeli.

Dechreuwch at y diweddbwynt, nid y diagram rhwydwaith

Y diweddbwynt yw'r man lle mae'r ddwy gysylltiad yn cyfarfod, felly dyna lle mae'r adolygiad yn dechrau: pa brosesau sy'n rhedeg, beth allant ei gyrraedd, a phwy sy'n eu rheoli. Mae diagram sy'n dangos dwy gwmwl wedi'u cysylltu â gliniadur yn gywir ac yn ddiwerth, oherwydd ei fod yn awgrymu cysylltiad nad yw efallai'n bodoli. Defnyddiwch restr o'r cymwysiadau sy'n gallu siarad â phob amgylchedd yn ei le, a nodwch pa gyfrif y mae pob un yn rhedeg o dano. Mae'r fframio hwnnw hefyd yn cadw'r adolygiad yn gymesur, gan nad yw gliniadur â dau dwnnel yr un gwrthrych â dwy rwydwaith wedi'u huno.

Y rhestr honno yw'r rhestr eiddo y mae gweddill yr adolygiad yn gweithio ohoni. Os yw'n cynnwys cleient cydamseru, proffil porwr wedi mewngofnodi i'r ddau amgylchedd, ac asiant adeiladu â chredensialau, mae gan yr adolygiad ei bynciau eisoes.

Tri phwynt croesi, wedi'u hadolygu ar wahân

Mynediad cymwysiadau yw'r pwynt croesi cyntaf, ac nid oes angen unrhyw anfon ymlaen. Gall tab porwr, cleient cydamseru neu asiant adeiladu ar y diweddbwynt ddarllen o adnodd mewn un amgylchedd a chyflwyno data i adnodd yn y llall. Mae'r gallu hwnnw'n bodoli p'un a yw'r system weithredu'n anfon pecynnau rhwng rhyngwynebau ai peidio, a dyma'r mecanwaith y mae pobl yn ei golli pan ddônt i'r casgliad nad oes pont felly nad oes risg. Felly mae darllen y rhestr cymwysiadau yn fwy addysgiadol na darllen y rhestr rhyngwynebau.

Mae hunaniaeth a data yn ffurfio'r ail bwynt croesi. Mae credensialau corfforaethol, cwcis sesiwn, dogfennau a lawrlwythwyd a hawliau rheoli yn byw ar y diweddbwynt, ac nid yw ymuno â rhwydwaith arall yn eu datgelu ar eu pennau eu hunain. Yr hyn sy'n newid yw'r set o bartïon a allai ddylanwadu ar y diweddbwynt tra'i fod yn dal y credensialau hynny, ac mae honno'n gwestiwn am hygrededd y rhwydwaith personol yn hytrach nag am lwybrau. Barn yw hon na all perchennog y diweddbwynt ei gwneud ar ei ben ei hun, ac nid yw absenoldeb rheol anfon ymlaen yn ei hateb.

Anfon ymlaen rhwydwaith yw'r trydydd, a'r unig un a all droi'r gliniadur yn ddyfais dramwy. Gall anfon ymlaen IP, rhannu cysylltiad rhyngrwyd, dirprwy neu nodwedd bontio wneud hynny, ac mae pob un yn ffurfweddiad sydd naill ai wedi'i alluogi neu heb fod. Archwiliwch y cyflwr hwnnw'n uniongyrchol yn hytrach na'i gasglu o bresenoldeb cleient VPN. Ar beiriant wedi'i reoli'r ateb fel arfer yw na, ac mae ei wirio'n troi rhagdybiaeth yn ffaith sy'n werth ei chofnodi.

Gofynnwch am un adnodd, nid dwy rwydwaith

Mae'r rhan fwyaf o ofynion gwirioneddol yn gulach nag y maent yn ymddangos ar yr olwg gyntaf: un consol, un rhaniad ffeil, un cymhwysiad gwe mewnol. Dywedwch y gofyniad felly a gadewch i berchennog yr adnodd benderfynu a yw'n perthyn i'r diweddbwynt hwn o gwbl. Mae cais a fframiwyd fel ymuno dwy rwydwaith yn anodd ei gymeradwyo ac yn hawdd ei wrthod; mae gan gais am un gwasanaeth a enwir ateb.

Os mai ie yw'r ateb, dewiswch y llwybr culaf a gefnogir a'i gadw o fewn rheolyddion presennol y sefydliad. Mae ail broffil wedi'i reoli neu gofnod cymhwysiad â chwmpas yn cadw monitro a pholisi; mae ffurfweddiad personol cystadleuol yn eu disodli'n dawel, ac ni ŵyr neb pa un sy'n ennill ar ôl y diweddariad nesaf.

Cynhwyswch effeithiau DNS a llwybrau

Mae datrys enwau yn newid yr eiliad y bydd ail broffil yn weithredol. Gall cleient personol wthio ei ddatryswr ei hun, gall porwr ddefnyddio DNS amgryptiedig ei hun, a gall tabl polisi lwybreiddio enwau mewnol i weinydd gwahanol i'r un y mae'r ffurfweddiad corfforaethol yn ei ddisgwyl. Nid oes unrhyw un o'r rhain angen anfon ymlaen, a gall unrhyw un ohonynt anfon enw gwesteiwr mewnol i'r lle anghywir.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Cofnodwch y tri allbwn hynny cyn ac ar ôl i'r ail broffil gysylltu. Y gwahaniaeth rhyngddynt yw'r effaith sy'n cyrraedd y defnyddiwr mewn gwirionedd, ac mae'n aml yn fwy na'r newid llwybreiddio y mae'r tocyn yn ei ddisgrifio. Cadwch y ddau gofnod fel y gall adolygydd diweddarach weld beth a newidiodd yn hytrach na beth a fwriadwyd.

Gwiriwch a chadwch ffordd allan

Profwch y cymhwysiad cymeradwy o'r broses a'r cyd-destun defnyddiwr go iawn, nid o gragen gweinyddwr ar yr un peiriant. Yna cadarnhewch fod cyrchfannau anghysylltiedig yn parhau'n anghyraeddadwy lle mae'r dyluniad yn gofyn am hynny: mae ffin na phrofodd neb yn ffin na all neb ei honni. Dylai datgysylltu'r twnnel personol adfer y cyflwr blaenorol, ac mae'r adferiad hwnnw'n werth ei wirio tra bo rhywun yn dal i wylio.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Mae canllaw NIST ar bensaernïaeth dim ymddiriedaeth yn ddefnyddiol yma oherwydd ei fod yn dileu lleoliad rhwydwaith fel ffynhonnell ymddiriedaeth awtomatig, sef yn union y rhagdybiaeth dan sylw. Nid y cwestiwn yw a yw'r rhwydwaith cartref yn hygred yn ei hanfod; y cwestiwn yw pwy all gyrraedd pa adnodd, o ba ddiweddbwynt, trwy ba bwynt gorfodi. Atebwch y tri hynny, a chadwch y dystiolaeth gyda'r penderfyniad.