Arbeitslaptop in einem persönlichen VPN: Was tatsächlich übertritt

Ein Firmenlaptop an ein Heim-VPN anzuschließen versetzt ihn an zwei Orte gleichzeitig, und die interessante Frage ist kleiner und nützlicher als die alarmierende. Niemand hat ein Ethernet-Kabel zwischen Büro und Haus verlegt, und keine Route macht das Heimnetz zu einer Erweiterung des Firmensubnetzes. Was existiert, ist ein einziger Endpunkt mit Zugang zu beiden Umgebungen, und drei getrennte Mechanismen entscheiden, was tatsächlich zwischen ihnen wandern kann. Diese drei vom Endpunkt nach außen durchzugehen liefert eine Antwort, auf die ein Administrator handeln kann, statt einer Debatte über Bezeichnungen.

Beim Endpunkt anfangen, nicht beim Netzdiagramm

Der Endpunkt ist der Ort, an dem beide Verbindungen zusammentreffen, also beginnt dort die Prüfung: welche Prozesse laufen, was sie erreichen können und wer sie kontrolliert. Ein Diagramm, das zwei Wolken zeigt, die mit einem Laptop verbunden sind, ist zutreffend und nutzlos, weil es eine Verbindung impliziert, die es vielleicht nicht gibt. Ersetzen Sie es durch eine Liste der Anwendungen, die mit jeder Umgebung sprechen können, und notieren Sie, unter welchem Konto jede läuft. Dieser Rahmen hält die Prüfung auch angemessen, denn ein Laptop mit zwei Tunneln ist nicht dasselbe Objekt wie zwei zusammengeschlossene Netze.

Diese Liste ist das Inventar, von dem der Rest der Prüfung ausgeht. Enthält sie einen Synchronisierungsclient, ein in beiden Umgebungen angemeldetes Browserprofil und einen Build-Agenten mit Zugangsdaten, hat die Prüfung bereits ihre Gegenstände.

Drei Übertrittspunkte, getrennt geprüft

Anwendungszugriff ist der erste Übertrittspunkt und erfordert keine Weiterleitung. Ein Browser-Tab, ein Synchronisierungsclient oder ein Build-Agent auf dem Endpunkt kann aus einer Ressource in der einen Umgebung lesen und Daten an eine Ressource in der anderen übermitteln. Diese Fähigkeit besteht unabhängig davon, ob das Betriebssystem Pakete zwischen Schnittstellen weiterleitet, und genau diesen Mechanismus übersehen Leute, wenn sie folgern, keine Brücke bedeute kein Risiko. Die Liste der Anwendungen zu lesen ist daher aufschlussreicher als die Liste der Schnittstellen zu lesen.

Identität und Daten bilden den zweiten Übertrittspunkt. Firmenzugangsdaten, Sitzungscookies, heruntergeladene Dokumente und Verwaltungsrechte liegen auf dem Endpunkt, und der Beitritt zu einem anderen Netz offenbart sie nicht von selbst. Was sich ändert, ist die Menge der Parteien, die den Endpunkt beeinflussen könnten, während er diese Zugangsdaten hält, und das ist eine Frage der Vertrauenswürdigkeit des persönlichen Netzes und nicht des Routings. Das ist ein Urteil, das der Eigentümer des Endpunkts nicht allein fällen kann, und es wird nicht durch das Fehlen einer Weiterleitungsregel beantwortet.

Netzweiterleitung ist der dritte und der einzige, der den Laptop in ein Transitgerät verwandeln kann. IP-Weiterleitung, Internetverbindungsfreigabe, ein Proxy oder eine Brückenfunktion können das jeweils bewirken, und jede davon ist eine Konfiguration, die entweder aktiviert ist oder nicht. Prüfen Sie diesen Zustand direkt, statt ihn aus der Anwesenheit eines VPN-Clients abzuleiten. Auf einem verwalteten Rechner lautet die Antwort meist nein, und sie zu überprüfen macht aus einer Annahme eine festhaltenswerte Tatsache.

Um eine Ressource bitten, nicht um zwei Netze

Die meisten realen Anforderungen sind enger, als sie zunächst scheinen: eine Konsole, eine Dateifreigabe, eine interne Webanwendung. Formulieren Sie die Anforderung so und lassen Sie den Eigentümer der Ressource entscheiden, ob sie überhaupt auf diesen Endpunkt gehört. Ein Antrag, der als Zusammenschluss zweier Netze formuliert ist, ist schwer zu genehmigen und leicht abzulehnen; ein Antrag für einen benannten Dienst hat eine Antwort.

Lautet die Antwort ja, bevorzugen Sie den engsten unterstützten Weg und halten Sie ihn innerhalb der bestehenden Kontrollen der Organisation. Ein verwaltetes zweites Profil oder ein eng gefasster Anwendungseintrag erhält Überwachung und Richtlinie; eine konkurrierende persönliche Konfiguration ersetzt sie stillschweigend, und niemand weiß, welche nach dem nächsten Update gewinnt.

DNS- und Routenwirkungen einschließen

Die Namensauflösung ändert sich in dem Moment, in dem ein zweites Profil aktiv ist. Ein persönlicher Client kann seinen eigenen Resolver durchsetzen, ein Browser kann sein eigenes verschlüsseltes DNS verwenden, und eine Richtlinientabelle kann interne Namen zu einem anderen Server leiten, als die Firmenkonfiguration erwartet. Nichts davon erfordert Weiterleitung, und jedes davon kann einen internen Hostnamen an die falsche Stelle schicken.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Erfassen Sie diese drei Ausgaben, bevor und nachdem das zweite Profil sich verbindet. Der Unterschied zwischen ihnen ist die Wirkung, die den Nutzer tatsächlich erreicht, und sie ist oft größer als die Routingänderung, die das Ticket beschreibt. Bewahren Sie beide Aufzeichnungen auf, damit eine spätere Prüfung sieht, was sich geändert hat, und nicht, was beabsichtigt war.

Überprüfen und einen Ausweg behalten

Testen Sie die genehmigte Anwendung aus dem echten Prozess- und Nutzerkontext, nicht aus einer Administrator-Shell auf derselben Maschine. Bestätigen Sie dann, dass unabhängige Ziele dort unerreichbar bleiben, wo das Design es verlangt: Eine Grenze, die niemand getestet hat, ist eine Grenze, auf die niemand sich berufen kann. Das Trennen des persönlichen Tunnels sollte den vorherigen Zustand wiederherstellen, und diese Wiederherstellung lohnt sich zu prüfen, solange noch jemand zusieht.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Die NIST-Empfehlung zu Zero-Trust-Architektur ist hier nützlich, weil sie den Netzwerkstandort als automatische Vertrauensquelle entfernt, was genau die fragliche Annahme ist. Die Frage ist nicht, ob das Heimnetz von Natur aus vertrauenswürdig ist; sie lautet, wer welche Ressource erreichen kann, von welchem Endpunkt, über welchen Durchsetzungspunkt. Beantworten Sie diese drei, und bewahren Sie die Belege zusammen mit der Entscheidung.