Arbejds-VPN i Saudi-Arabien: tre spørgsmål, før du beder om adgang

Et afvist andet login eller en blokeret intern applikation peger sjældent på en brudt tunnel. Arbejds-VPN’er håndhæver tre separate ting: hvad kontoen må nå, hvor mange sessioner den må holde, og hvilke interne tjenester der er udgivet til fjernbrugere. Stil de tre spørgsmål i rækkefølge, fordi hvert har en anden ejer. En offentliggjort ramme som NCA’s vejledning til implementering af fjernarbejde er en nyttig ramme for samtalen, ikke en dom over nogens juridiske stilling.

Først: hvad må denne konto nå?

Adgangsrettigheder defineres af systemfølsomhed, adgangsniveau og tilladt enhedstype, og det er organisatoriske beslutninger, ikke egenskaber ved tunnelen. At have adgangskoden besvarer kun, om forbindelsen må etableres. Det siger ikke, om kontoen må åbne et dokument, administrere en server eller ændre en controller. Bed om den tilsigtede ressource og operation, ikke om adgang til netværket som helhed.

En anmodning formuleret som en destination er lettere at godkende end en formuleret som en fornemmelse. Derfor handler det første spørgsmål om ressourcen, ikke om netværket.

NCA 2-2-1-1 binder adgangsrettigheder til præcis disse tre dimensioner, og derfor skal svaret navngive et system og en operation. Den samme logik findes i zero-trust-vejledning: netværksplacering er ikke autorisation. En bruger på virksomhedens VPN og en bruger på en hjemmeforbindelse kan begge autentificeres, og applikationen afgør stadig, hvad hver af dem må.

Andet: hvor mange sessioner må køre samtidigt?

Samtidig fjernadgang er en separat kontrol, og NCA 2-2-1-2 dækker den sammen med en godkendelsesvej for undtagelser. Organisationer begrænser den ofte, nogle gange til én aktiv session per konto. Grænsen er et politiktal, som operatøren fastsætter, ikke en protokolkonstant, så ingen uden for organisationen kan fortælle dig værdien. En forældet session, som ingen kan lukke, er et driftsproblem, der er værd at rapportere i sig selv.

Hvis en anden bærbar afvises, er den første session den sædvanlige forklaring. Spørg, hvordan operatøren identificerer sessioner, og hvordan forældede lukkes; nogle systemer udløber en inaktiv session, andre beholder den, indtil den udtrykkeligt afsluttes. Geninstaller ikke klienten, skift ikke profilen, og skift ikke exits, før det svar kommer.

Tredje: hvilke interne tjenester er udgivet?

Fjernadgang udgiver normalt et bestemt sæt tjenester, protokoller og porte, og NCA 2-4-1-1 holder det sæt til det, fjernarbejde faktisk har brug for. Listen er mindre end det private netværk, og det er med vilje. Spørg, hvilken tjeneste og port du har brug for, i stedet for at anmode om bred nåbarhed, fordi en bred anmodning er sværere at begrunde og meget sværere at gennemgå senere.

Supportanmodningen bør indeholde kontoens rolle, den godkendte enhed, måltjenesten, tidspunktet for fejlen og den ikke-hemmelige fejltekst. Send den gennem organisationens kanal i stedet for til den, der svarer først i en gruppechat. Det er nok til, at ejeren kan kontrollere politik og logfiler. Adgangskoder, gendannelseskoder og private nøgler hører ikke deri.

Hvad du skal gøre, når svaret er nej

En afvisning er ofte en uoverensstemmelse i omfang, ikke en sikkerhedsdom. Tjenesten er måske kun udgivet til kontoradresser, eller rollen mangler måske operationen, selv om tunnelen virker. Spørg, hvilket af de tre spørgsmål der fejlede, og rettelsen bliver som regel tydelig. Hvis der er brug for en undtagelse, bed ejeren om at registrere den i stedet for at gå uden om den.

Lån ikke en kollegas session, deaktiver ikke et klienttjek, og send ikke trafik gennem en ikke-godkendt exit for at få en test til at bestå. Hver af disse erstatter en reviderbar afvisning med en succes, ingen kan revidere, og den næste gennemgang vil finde forskellen. Den godkendte undtagelse er langsommere og overlever en revision.

Spørgsmålene, du tager med til ejeren

Skriv dem ned før samtalen: hvilke ressourcer og operationer denne konto er godkendt til, hvad politikken for samtidige sessioner er, og hvordan forældede sessioner ryddes, og hvilke interne tjenester og porte der er udgivet til fjernbrugere. Bed ejeren bekræfte den aktuelle anvendelighed, fordi vejledninger revideres, og intern politik kan være strengere end den offentliggjorte basislinje. Tilføj enhedskravet, hvis organisationen har et.

En ramme for kontroller hjælper dig med at stille præcise spørgsmål. Den tillader ikke en aktivitet, og den erstatter ikke operatørens svar.

Bring svarene tilbage til den samme ejer, når den næste ændring foreslås. Det er det, der gør en enkeltstående godkendelse til en politik, som nogen vedligeholder.