VPN για μικρό γραφείο: κρατήστε το μακριά από τον ελεγκτή τομέα

Τρεις συνθήκες αποφασίζουν αν ο μοναδικός διακομιστής Windows του γραφείου πρέπει να τερματίζει και το VPN: πόσο λογισμικό στραμμένο στο διαδίκτυο είστε διατεθειμένοι να εκτελείτε στον κατάλογο, αν μπορείτε να επαληθεύετε απομακρυσμένους χρήστες χωρίς αυτόν τον ρόλο, και τι συμβαίνει με την πρόσβαση διαχείρισής σας όταν ο κεντρικός υπολογιστής επανεκκινεί. Αν οποιαδήποτε από τις τρεις έχει κακή απάντηση, χωρίστε τους ρόλους. Το ότι το γραφείο είναι μικρό αλλάζει τον προϋπολογισμό, όχι τον κίνδυνο.

Κάθε μηχάνημα στον τομέα εμπιστεύεται έναν ελεγκτή τομέα· σε μια πύλη VPN μπορεί να φτάσει οποιοσδήποτε στο διαδίκτυο. Αυτή η ασυμμετρία είναι όλο το επιχείρημα.

Δύο εργασίες με δύο διαφορετικά προφίλ έκθεσης

Η πύλη δέχεται συνδέσεις από έξω, άρα ο ακροατής της, η στοίβα TLS και η επιφάνεια επαλήθευσης είναι όλα προσβάσιμα από μη αξιόπιστα δίκτυα. Ο κατάλογος κατέχει μια αρχή που εμπιστεύονται άλλα μηχανήματα, γι' αυτό οι οδηγίες σκλήρυνσης της Microsoft αντιμετωπίζουν τον ρόλο του ελεγκτή τομέα και το περιβάλλον φιλοξενίας του ως ιδιαίτερα ευαίσθητα. Κάθε υπηρεσία που προστίθεται σε αυτόν τον κεντρικό υπολογιστή κληρονομεί τη θέση εμπιστοσύνης του καταλόγου και προσθέτει τη δική της επιφάνεια επίθεσης. Η ευκολία εγκατάστασης δεν είναι όριο εμπιστοσύνης.

Ο διαχωρισμός των ρόλων δεν αφαιρεί τις εξαρτήσεις. Οι απομακρυσμένοι χρήστες χρειάζονται ακόμη επαλήθευση, διαδρομές, DNS και κανόνες πρόσβασης, και μια πύλη που τα παραλείπει δεν είναι ασφαλέστερη, μόνο λιγότερο χρήσιμη.

Επαλήθευση χωρίς τον ρόλο καταλόγου

Μια πύλη μπορεί να επικυρώνει διαπιστευτήρια μέσω υποστηριζόμενης εξωτερικής ολοκλήρωσης χωρίς να φιλοξενεί τον ίδιο τον κατάλογο. Όποια κι αν είναι αυτή η ολοκλήρωση, δώστε της λογαριασμό με δικαιώματα που ταιριάζουν στον σκοπό: ανάγνωση των χαρακτηριστικών που χρειάζονται για επαλήθευση, τίποτε περισσότερο. Η αποδοχή χρηστών VPN δεν απαιτεί ποτέ να γίνουν οι συνηθισμένοι λογαριασμοί τους διαχειριστές τομέα, ούτε απαιτεί ποτέ η πύλη να κρατά αντίγραφο του καταλόγου.

Έπειτα περιγράψτε τις διαδρομές δικτύου που χρειάζεται πραγματικά ο απομακρυσμένος πελάτης. Η πρόσβαση σε μία εσωτερική υπηρεσία αρχείων, μαζί με τις υπηρεσίες επίλυσης ονομάτων και ταυτότητας από τις οποίες εξαρτάται αυτή η ροή εργασίας, είναι ένα καθορισμένο σύνολο διαδρομών. Δεν είναι λόγος να επιτρέπεται κάθε θύρα του ελεγκτή τομέα ή κάθε διαχειριστική διεπαφή από τη δεξαμενή VPN.

Ένας κεντρικός υπολογιστής παραμένει ένας τομέας αστοχίας

Δύο φιλοξενούμενοι σε έναν hypervisor χωρίζουν τη διαμόρφωση του λειτουργικού τους συστήματος και δεν χωρίζουν τη μοίρα τους. Οι διαχειριστές του hypervisor, η εικονική μεταγωγή, η αποθήκευση και τα αντίγραφα ασφαλείας παραμένουν μέρος του σχεδιασμού, και η επανεκκίνηση του κεντρικού υπολογιστή αφαιρεί και τις δύο υπηρεσίες ταυτόχρονα. Το να το αποκαλείς υψηλή διαθεσιμότητα επειδή το διάγραμμα δείχνει δύο VM είναι κοινό και ακριβό λάθος. Αν η μόνη διαδρομή επιστροφής περνά από το VPN σε αυτόν τον κεντρικό υπολογιστή, μια αστοχία αφαιρεί τη σύνδεση που χρειάζεται για την επισκευή του.

Σχεδιάστε λοιπόν μια ανεξάρτητη διαδρομή διαχείρισης που δεν εξαρτάται από τη σήραγγα, και γράψτε τι παραμένει διαθέσιμο κατά τη συντήρηση. Προγραμματίστε τις ενημερώσεις της πύλης και τη συντήρηση του καταλόγου χωριστά, σημειώνοντας ποιους χρήστες ή εφαρμογές αγγίζει κάθε διακοπή.

Ένα παράθυρο συντήρησης που απαιτεί το VPN να είναι ενεργό για να διορθωθεί το VPN δεν είναι παράθυρο συντήρησης.

Μετακινήστε το χωρίς να κλειδωθείτε έξω

Αν οι ρόλοι μοιράζονται ήδη μία εγκατάσταση, αποφύγετε μια βιαστική απομακρυσμένη μετανάστευση. Καταγράψτε τι κατέχει σήμερα η πύλη: διευθύνσεις, κανόνες προώθησης, NAT, ρυθμίσεις DNS, διαμόρφωση επαλήθευσης και τυχόν δημοσιευμένες υπηρεσίες. Προετοιμάστε και την αντικατάσταση και έναν δρόμο επιστροφής πριν μετακινήσετε τον ακροατή ή αλλάξετε μια προεπιλεγμένη διαδρομή. Έπειτα δοκιμάστε την πραγματική εργασία ενός συνηθισμένου απομακρυσμένου χρήστη μέσα από το νέο όριο, και επιβεβαιώστε ότι η περιττή διαχειριστική πρόσβαση εξακολουθεί να αποτυγχάνει.

Ο στόχος δεν είναι ένα ομορφότερο διάγραμμα. Είναι η ικανότητα να επισκευάσετε ή να ξαναχτίσετε το VPN χωρίς να αγγίξετε το κουτί που αγκυρώνει την εμπιστοσύνη του καταλόγου για όλο το γραφείο. Αυτοί είναι διαφορετικοί στόχοι, και μόνο ένας από αυτούς χρειάζεται δεύτερο διακομιστή.

Καταγράψτε την απόφαση είτε έτσι είτε αλλιώς, μαζί με τις συνθήκες που θα την άνοιγαν ξανά. Ένα μικρό γραφείο μεγαλώνει, και η απάντηση που ταίριαζε σε έναν διακομιστή μπορεί να μην ταιριάζει στον επόμενο.