VPN für das kleine Büro: Halten Sie sie vom Domänencontroller fern

Drei Bedingungen entscheiden, ob der einzige Windows-Server des Büros auch das VPN beenden soll: wie viel internetzugewandte Software Sie auf dem Verzeichnis laufen lassen wollen, ob Sie entfernte Benutzer ohne diese Rolle authentifizieren können und was mit Ihrem Verwaltungszugang geschieht, wenn der Host neu startet. Hat auch nur eine der drei eine schlechte Antwort, trennen Sie die Rollen. Dass das Büro klein ist, ändert das Budget, nicht das Risiko.

Einem Domänencontroller vertraut jeder Rechner der Domäne; ein VPN-Gateway ist für jeden im Internet erreichbar. Diese Asymmetrie ist das ganze Argument.

Zwei Aufgaben mit zwei verschiedenen Expositionsprofilen

Das Gateway nimmt Verbindungen von außen an, daher sind sein Listener, sein TLS-Stack und seine Authentifizierungsoberfläche alle aus nicht vertrauenswürdigen Netzen erreichbar. Das Verzeichnis trägt eine Autorität, der andere Rechner vertrauen, weshalb Microsofts Härtungsleitfaden die Domänencontrollerrolle und ihre Hostingumgebung als besonders sensibel behandelt. Jeder Dienst, der diesem Host hinzugefügt wird, erbt die Vertrauensposition des Verzeichnisses und fügt seine eigene Angriffsfläche hinzu. Bequemlichkeit bei der Installation ist keine Vertrauensgrenze.

Die Trennung der Rollen beseitigt die Abhängigkeiten nicht. Entfernte Benutzer brauchen weiterhin Authentifizierung, Routen, DNS und Zugriffsregeln, und ein Gateway, das sie überspringt, ist nicht sicherer, nur weniger nützlich.

Authentifizierung ohne die Verzeichnisrolle

Ein Gateway kann Anmeldedaten über eine unterstützte externe Integration prüfen, ohne das Verzeichnis selbst zu hosten. Wie diese Integration auch aussieht, geben Sie ihr ein Konto, dessen Rechte zum Zweck passen: die für die Authentifizierung nötigen Attribute lesen, nichts weiter. Die Aufnahme von VPN-Benutzern verlangt nie, ihre gewöhnlichen Konten zu Domänenadministratoren zu machen, und sie verlangt nie, dass das Gateway eine Kopie des Verzeichnisses hält.

Begrenzen Sie dann die Netzwerkpfade, die der entfernte Client tatsächlich braucht. Zugriff auf einen internen Dateidienst plus die Namensauflösungs- und Identitätsdienste, von denen dieser Arbeitsablauf abhängt, ist eine definierte Menge von Pfaden. Das ist kein Grund, jeden Port des Domänencontrollers oder jede administrative Schnittstelle aus dem VPN-Pool zuzulassen.

Ein Host bleibt eine Fehlerdomäne

Zwei Gäste auf einem Hypervisor trennen ihre Betriebssystemkonfiguration und trennen nicht ihr Schicksal. Die Administratoren des Hypervisors, virtuelle Vermittlung, Speicher und Sicherungen bleiben Teil des Entwurfs, und ein Neustart des Hosts entfernt beide Dienste auf einmal. Das als hohe Verfügbarkeit zu bezeichnen, weil das Diagramm zwei VMs zeigt, ist ein häufiger und teurer Fehler. Wenn der einzige Rückweg über das VPN auf diesem Host läuft, nimmt ein Ausfall die Verbindung weg, die zur Reparatur nötig ist.

Planen Sie daher einen unabhängigen Verwaltungsweg, der nicht vom Tunnel abhängt, und schreiben Sie auf, was während der Wartung verfügbar bleibt. Legen Sie Gateway-Updates und Verzeichniswartung getrennt fest und notieren Sie, welche Benutzer oder Anwendungen jede Unterbrechung betrifft.

Ein Wartungsfenster, das ein laufendes VPN erfordert, um das VPN zu reparieren, ist kein Wartungsfenster.

Verschieben Sie es, ohne sich auszusperren

Wenn die Rollen bereits eine Installation teilen, vermeiden Sie eine überstürzte Fernmigration. Bestandsaufnahme dessen, was das Gateway heute besitzt: Adressen, Weiterleitungsregeln, NAT, DNS-Einstellungen, Authentifizierungskonfiguration und alle veröffentlichten Dienste. Bereiten Sie sowohl den Ersatz als auch einen Rückweg vor, bevor Sie den Listener verschieben oder eine Standardroute ändern. Testen Sie dann die tatsächliche Arbeit eines gewöhnlichen entfernten Benutzers über die neue Grenze und bestätigen Sie, dass unnötiger administrativer Zugang weiterhin scheitert.

Das Ziel ist kein schöneres Diagramm. Es ist die Fähigkeit, das VPN zu reparieren oder neu aufzubauen, ohne die Kiste anzufassen, die das Verzeichnisvertrauen für das ganze Büro verankert. Das sind verschiedene Ziele, und nur eines davon braucht einen zweiten Server.

Halten Sie die Entscheidung so oder so fest, einschließlich der Bedingungen, die sie wieder öffnen würden. Ein kleines Büro wächst, und die Antwort, die zu einem Server passte, passt vielleicht nicht zum nächsten.