Συγκεντρώστε την πρόσβαση VPN των συνεργατών χωρίς να ενώσετε τους συνεργάτες

Η πρόταση είναι λογική: πέντε τούνελ συνεργατών μοιρασμένα σε μια ντουζίνα φορητούς υπολογιστές, πέντε σύνολα εκδόσεων πελάτη, πέντε σενάρια υποστήριξης και ένας μηχανικός που ξέρει πώς ταιριάζουν. Η μεταφορά τους σε ελεγχόμενο επίπεδο πρόσβασης λύνει την εξάπλωση των τελικών σημείων. Δημιουργεί επίσης ένα νέο αντικείμενο στην αρχιτεκτονική σας, μια κοινή υπηρεσία πρόσβασης που τώρα χρειάζεται δικό της μοντέλο εξουσιοδότησης, και η αποτυχία που όλοι υποτιμούν είναι μια κεντρική συσκευή με όλα τα τούνελ ενεργά που γίνεται ήσυχα ένα δίκτυο διέλευσης ανάμεσα σε οργανισμούς που ποτέ δεν δέχτηκαν να είναι γείτονες. Αυτός ο κίνδυνος είναι απόφαση σχεδίασης, όχι κάτι που κάνει το υλικό από μόνο του. Η δουλειά παρακάτω είναι πώς κρατώ την ευκολία χωρίς να δεχτώ την τυχαία παρενέργεια.

Ξεκινήστε από το συμβόλαιο που έχει ήδη υπογράψει κάθε συνεργάτης

Πριν από οποιαδήποτε διαμόρφωση, επιβεβαιώστε ότι ο συνεργάτης επιτρέπει καθόλου κοινή πύλη ή σύνδεση τοποθεσίας. Ένας προσωπικός λογαριασμός απομακρυσμένης πρόσβασης, μια απαίτηση κατάστασης συσκευής ή μια διαδραστική ροή MFA μπορεί να μην μεταφέρονται σε ένα κοινό τούνελ χωρίς επίβλεψη, και το να μαζεύεις εργαζόμενους πίσω από μία αντιγραμμένη ταυτότητα πελάτη είναι το είδος της συντόμευσης που επιβιώνει μέχρι ο συνεργάτης να ελέγξει τα αρχεία του. Για κάθε επιτρεπόμενη σύνδεση, καταγράψτε περιοχές προορισμού, ιδιωτικούς τομείς DNS, εξουσιοδοτημένες εσωτερικές πηγές, τον υπεύθυνο ελέγχου ταυτότητας και το τι πρέπει να συμβεί όταν το τούνελ αποτύχει. Ζητήστε από τον συνεργάτη να επιβεβαιώσει γραπτώς την κοινή σύνδεση, μαζί με τις περιοχές πηγής που θα δεχτεί. Η προφορική έγκριση συνήθως αλλάζει νόημα την εβδομάδα που αλλάζει η ομάδα ασφαλείας τους.

Αυτό το αρχείο είναι το παραδοτέο. Αν δεν μπορείτε να το γράψετε για έναν συνεργάτη, αυτός ο συνεργάτης δεν είναι έτοιμος για συγκέντρωση.

Δρομολογήστε με βάση το πλαίσιο, όχι μόνο τον προορισμό

Δύο συνεργάτες θα χρησιμοποιήσουν τελικά την ίδια ιδιωτική περιοχή, γιατί κάθε οργανισμός επιλέγει από τον ίδιο χώρο RFC 1918. Ένας μόνο συνηθισμένος πίνακας δρομολόγησης δεν μπορεί να επιλέξει τον σωστό συνεργάτη μόνο από τη διεύθυνση προορισμού, οπότε οι περιοχές που επικαλύπτονται χρειάζονται ξεχωριστά πλαίσια δρομολόγησης ή άλλη συμφωνημένη σχεδίαση. Το μοντέλο τομέα προώθησης στο RFC 4364 εξηγεί γιατί έχει σημασία ο διαχωρισμός, και μια εγκατάσταση δεν χρειάζεται να τρέχει MPLS για να απαιτήσει την ίδια ιδιότητα από την πλατφόρμα πύλης της.

Ρωτήστε την πλατφόρμα ευθέως: μπορούν δύο συνεργάτες να μοιράζονται το ίδιο πρόθεμα προορισμού και να ξεχωρίζουν ακόμα από το πλαίσιο εργαζομένου από το οποίο ήρθε η συνεδρία; Αν η απάντηση είναι όχι, αυτός ο περιορισμός διαμορφώνει τη σχεδίαση περισσότερο από κάθε λίστα χαρακτηριστικών προμηθευτή.

Όπου η απάντηση είναι ναι, το πλαίσιο δρομολόγησης γίνεται αυτό που τεκμηριώνετε και δοκιμάζετε, γιατί είναι αόρατο σε ένα traceroute.

Αποφασίστε τι πληκτρολογεί ο εργαζόμενος και τι καταγράφει ο συνεργάτης

Κάποια εργασία συνεργάτη ταιριάζει σε διαμεσολαβητή εφαρμογών ή σε απομακρυσμένο χώρο εργασίας που ανοίγει μέσα στο πλαίσιο αυτού του συνεργάτη. Άλλη εργασία χρειάζεται δρομολογημένη δικτυακή πρόσβαση από εγκεκριμένο τμήμα εργαζομένων, και τα δύο παράγουν διαφορετικές διευθύνσεις πηγής και διαφορετικά ίχνη ελέγχου στο απομακρυσμένο άκρο. Μια κοινή μεταφρασμένη διεύθυνση πηγής μπορεί να ικανοποιήσει μια λίστα επιτρεπόμενων κρύβοντας ποια συσκευή έκανε τι, οπότε διατηρήστε ένα αξιόπιστο αρχείο εργαζομένου-σε-συνεδρία και κρατήστε τον έλεγχο ταυτότητας της εφαρμογής, αντί να αντιμετωπίζετε τη διεύθυνση πύλης ως ταυτότητα, κάτι που είναι βολικό μέχρι τη στιγμή που ο συνεργάτης ρωτήσει ποιος το έκανε.

Στη συνέχεια περπατήστε μια πραγματική εργασία από την πλευρά του εργαζομένου: τι πατάνε, τι τους ζητείται και τι θα έβλεπε ο συνεργάτης αν ζητούσε μια καταγραφή. Αν αυτή η διαδρομή δεν αναπαράγεται, η σχεδίαση δεν έχει τελειώσει.

Αρνηθείτε ρητά τη διέλευση μεταξύ συνεργατών

Το κοινό υλικό δεν πρέπει ποτέ να συνεπάγεται κοινή εμπιστοσύνη. Προσθέστε την άρνηση ως σκόπιμο κανόνα με ονομασμένο υπεύθυνο, όχι ως ατύχημα λείπουσας διαμόρφωσης, και δοκιμάστε την και από τις δύο κατευθύνσεις με ένα αίτημα που αλλιώς θα πετύχαινε. Η δοκιμή έχει σημασία γιατί μια άδεια που απλώς λείπει μπορεί να την επαναφέρει ο επόμενος μηχανικός που προσθέτει μια διαδρομή για να λύσει ένα άσχετο παράπονο.

Γράψτε την άρνηση στο αρχείο συνεργάτη δίπλα στις άδειες, ώστε η πρόθεση να επιβιώσει από αλλαγές προσωπικού.

Λειτουργήστε το ως κοινή υπηρεσία, όχι ως μεγαλύτερο φορητό

Η ανανέωση τούνελ, η εναλλαγή διαπιστευτηρίων, η χωρητικότητα και η αντικατάσταση πύλης γίνονται πλέον όλα αλλαγές κοινής υπηρεσίας, που σημαίνει ότι χρειάζονται χρονοδιάγραμμα και δρόμο επικοινωνίας που ποτέ δεν απαίτησαν οι μεμονωμένοι φορητοί. Ένα πιστοποιητικό συνεργάτη που λήγει Σάββατο δεν είναι πια διακοπή ενός χρήστη· είναι όλες οι συνεδρίες αυτού του συνεργάτη ταυτόχρονα.

Δεχτείτε το επίπεδο μόνο όταν ένα απορριφθέν αίτημα μεταξύ συνεργατών αποτυγχάνει ακριβώς όπως προβλέπεται και ένα επιτρεπόμενο αίτημα εργαζομένου φτάνει στον σωστό προορισμό με τη σωστή πηγή. Το να αφαιρέσεις τη σύγκρουση φορητών κρατώντας άθικτο το όριο κάθε συνεργάτη είναι όλο το νόημα· μια σχεδίαση όπου κάθε απομακρυσμένο πρόθεμα είναι προσβάσιμο από κάθε γραφείο απλώς μετακίνησε το πρόβλημα.

Κρατήστε έναν μικρό πίνακα με συνεργάτη, πλαίσιο, επιτρεπόμενες περιοχές και υπεύθυνο. Θα είναι το πρώτο πράγμα που θα ζητήσει κάποιος σε ένα περιστατικό.