Foreslå et fjernadgangsmodul, som netværksejeren kan godkende

Et fjernadgangsmodul ændrer kundens netværksgrænse, selv når det ringer ud og ikke kræver nogen indgående portvideresendelse. Det er retningen udad, der gør det nemt at installere, og som gør det nemt at overse. Fremstil det som en anmodning om adgangsdesign, før det kommer på netværket. At fremstille det som noget, du ikke havde behov for at nævne, er måden, hvorpå en teknisk succes bliver til et kontraktproblem.

Gå ud fra, at netværksejeren stiller fire spørgsmål: hvad, hvem, hvor langt, og hvordan fortryder vi det.

Bed om ressourcen, ikke om subnettet

Beskriv arbejdet i de termer, ejeren bruger: hvilken person der har brug for hvilken tjeneste, på hvilken enhed, i hvor lang tid. En anmodning, der er afgrænset til én applikation på én vært, er nem at godkende. En anmodning om et subnet er en anmodning om at omorganisere en andens segmentering.

Kunden kører måske allerede et godkendt VPN, en fjernskrivebordsgateway eller en administreret supportkanal, der dækker behovet. Kontrollér det først, fordi genbrug af en eksisterende vej normalt er det billigste svar for begge parter. Passer det ikke, så sig præcis hvorfor. Den sammenligning er den stærkeste del af forslaget.

Hvis et modul virkelig er nødvendigt, så medbring dets ejer, softwarekilde, opdateringsproces og det tilsigtede installationspunkt.

Vis forbindelsen og hvor tilliden slipper op

Tegn modulet, fjernbrugeren, eventuelle mæglere eller relæer og den beskyttede ressource. Markér, hvor krypteringen slutter, og hvem der administrerer hvert endepunkt. En session udad indfører stadig en ny kontrolvej, og det er i diagrammet, det bliver synligt. At sige, at trafikken er krypteret, besvarer et fortrolighedsspørgsmål og intet autorisationsspørgsmål.

Angiv tilstanden eksplicit: pakkevideresendelse, applikationsproxy eller et eksponeret skrivebord. Hver især har forskellige konsekvenser for routing og værtsikkerhed, og hver især fejler forskelligt, når modulet kompromitteres.

Hold ubeslægtede kundenetværk og modulets egen administrationsgrænseflade uden for det godkendte omfang.

Adskil brugeridentitet fra enhedsidentitet

Brugerregistrering, enhedsidentitet, multifaktorautentificering og applikationslogin er fire forskellige kontroller, og forslaget bør navngive hver enkelt. Delte legitimationsoplysninger er genvejen, som folk bruger, og de efterlader ejeren ude af stand til at tilbagekalde én person uden at forstyrre alle. Applikationslogin bør blive hos applikationen. Modulet autentificerer en forbindelse; tjenesten afgør, hvad den forbindelse må gøre.

NIST's zero-trust-arkitektur er nyttig her, fordi den behandler ressourceadgang som en eksplicit beslutning snarere end en følge af netværksplacering.

Aftal gendannelse og fjernelse før installation

Ejeren skal kunne slå adgang fra med det samme via en kontrol, som ejeren selv betjener, ikke via et opkald til dig. Skriv tilbagekaldelse af legitimationsoplysninger, fjernelse af modulet, ansvar for opdateringer og en udløbs- eller revisionsdato ned. Bevar en lokal gendannelsesvej, der ikke afhænger af den nye fjernkanal. Et modul, som ingen kan fjerne uden leverandøren, er en permanent afhængighed forklædt som en bekvemmelighed.

Hold registreringerne i rimeligt omfang: godkendte identiteter, adgangsomfang, væsentlige ændringer og relevante fejl.

Indsamling af ubeslægtet browserhistorik for at bevise, at modulet findes, er ikke bevis på god drift, og det skaber en forpligtelse, som ejeren aldrig har bedt om.

Hvordan en vellykket godkendelse ser ud

Accepter designet sammen med ejeren med én tilladt tjeneste og én ressource, der skal forblive nægtet. Den anden halvdel er den del, folk springer over, og det er den eneste del, der beviser, at grænsen ligger, hvor diagrammet siger. Test tilbagekaldelse på samme måde, før modulet udfører rigtigt arbejde. Hvis godkendelsen nægtes, så brug kundens sanktionerede alternativ eller udfør arbejdet lokalt.

En fungerende forbindelse er ikke tilladelse til at oprette adgangsvejen.

Skriv godkendelsen ned med dens omfang og dens udløb, og giv ejeren en kopi. Den næste person, der rører ved det netværk, vil læse registreringen, ikke din erindring om samtalen.