Φορητός υπολογιστής εργασίας σε προσωπικό VPN: τι περνά στην πραγματικότητα

Η σύνδεση ενός εταιρικού φορητού υπολογιστή σε οικιακό VPN τον τοποθετεί σε δύο μέρη ταυτόχρονα, και το ενδιαφέρον ερώτημα είναι μικρότερο και πιο χρήσιμο από το ανησυχητικό. Κανείς δεν τράβηξε καλώδιο Ethernet ανάμεσα στο γραφείο και στο σπίτι, και καμία διαδρομή δεν κάνει το οικιακό δίκτυο προέκταση του εταιρικού υποδικτύου. Αυτό που υπάρχει είναι ένα τελικό σημείο με πρόσβαση σε δύο περιβάλλοντα, και τρεις ξεχωριστοί μηχανισμοί αποφασίζουν τι μπορεί πραγματικά να κινηθεί ανάμεσά τους. Η διέλευση αυτών των τριών από το τελικό σημείο προς τα έξω δίνει μια απάντηση πάνω στην οποία μπορεί να δράσει ένας διαχειριστής αντί για μια συζήτηση για ετικέτες.

Ξεκινήστε από το τελικό σημείο, όχι από το διάγραμμα δικτύου

Το τελικό σημείο είναι εκεί όπου συναντώνται οι δύο συνδέσεις, άρα εκεί αρχίζει η εξέταση: ποιες διεργασίες εκτελούνται, τι μπορούν να προσεγγίσουν και ποιος τις ελέγχει. Ένα διάγραμμα που δείχνει δύο νέφη συνδεδεμένα με έναν φορητό υπολογιστή είναι ακριβές και άχρηστο, γιατί υπονοεί έναν σύνδεσμο που μπορεί να μην υπάρχει. Αντικαταστήστε το με μια λίστα των εφαρμογών που μπορούν να μιλήσουν σε κάθε περιβάλλον και σημειώστε κάτω από ποιον λογαριασμό εκτελείται η καθεμία. Αυτό το πλαίσιο κρατά επίσης την εξέταση αναλογική, αφού ένας φορητός με δύο σήραγγες δεν είναι το ίδιο αντικείμενο με δύο ενωμένα δίκτυα.

Αυτή η λίστα είναι το απόθεμα από το οποίο εργάζεται η υπόλοιπη εξέταση. Αν περιέχει έναν πελάτη συγχρονισμού, ένα προφίλ περιηγητή συνδεδεμένο και στα δύο περιβάλλοντα και έναν πράκτορα δόμησης με διαπιστευτήρια, η εξέταση έχει ήδη τα υποκείμενά της.

Τρία σημεία διέλευσης, εξετασμένα χωριστά

Η πρόσβαση εφαρμογών είναι το πρώτο σημείο διέλευσης και δεν απαιτεί καμία προώθηση. Μια καρτέλα περιηγητή, ένας πελάτης συγχρονισμού ή ένας πράκτορας δόμησης στο τελικό σημείο μπορούν να διαβάσουν από έναν πόρο στο ένα περιβάλλον και να υποβάλουν δεδομένα σε έναν πόρο στο άλλο. Αυτή η δυνατότητα υπάρχει είτε το λειτουργικό σύστημα προωθεί πακέτα ανάμεσα στις διασυνδέσεις είτε όχι, και αυτός είναι ο μηχανισμός που οι άνθρωποι χάνουν όταν συμπεραίνουν ότι χωρίς γέφυρα δεν υπάρχει κίνδυνος. Επομένως το να διαβάζει κανείς τη λίστα εφαρμογών είναι πιο διαφωτιστικό από το να διαβάζει τη λίστα διασυνδέσεων.

Η ταυτότητα και τα δεδομένα σχηματίζουν το δεύτερο σημείο διέλευσης. Τα εταιρικά διαπιστευτήρια, τα cookies συνεδρίας, τα ληφθέντα έγγραφα και τα δικαιώματα διαχείρισης ζουν στο τελικό σημείο, και η σύνδεση σε άλλο δίκτυο δεν τα αποκαλύπτει από μόνη της. Αυτό που αλλάζει είναι το σύνολο των μερών που θα μπορούσαν να επηρεάσουν το τελικό σημείο όσο αυτό κρατά αυτά τα διαπιστευτήρια, και αυτό είναι ερώτημα για την αξιοπιστία του προσωπικού δικτύου και όχι για τη δρομολόγηση. Είναι μια κρίση που ο ιδιοκτήτης του τελικού σημείου δεν μπορεί να κάνει μόνος του, και δεν απαντάται από την απουσία κανόνα προώθησης.

Η προώθηση δικτύου είναι η τρίτη και η μόνη που μπορεί να μετατρέψει τον φορητό σε συσκευή διέλευσης. Η προώθηση IP, η κοινή χρήση σύνδεσης στο διαδίκτυο, ένας διακομιστής μεσολάβησης ή μια λειτουργία γέφυρας μπορούν καθένα να το κάνουν, και καθένα είναι μια ρύθμιση που είτε είναι ενεργοποιημένη είτε όχι. Επιθεωρήστε αυτή την κατάσταση απευθείας αντί να τη συμπεράνετε από την παρουσία πελάτη VPN. Σε διαχειριζόμενο μηχάνημα η απάντηση είναι συνήθως όχι, και η επαλήθευσή της μετατρέπει μια υπόθεση σε γεγονός που αξίζει να καταγραφεί.

Ζητήστε έναν πόρο, όχι δύο δίκτυα

Οι περισσότερες πραγματικές απαιτήσεις είναι στενότερες απ' ό,τι φαίνονται αρχικά: μία κονσόλα, ένας κοινόχρηστος φάκελος, μία εσωτερική διαδικτυακή εφαρμογή. Διατυπώστε την απαίτηση έτσι και αφήστε τον ιδιοκτήτη του πόρου να αποφασίσει αν ανήκει καθόλου σε αυτό το τελικό σημείο. Ένα αίτημα διατυπωμένο ως ένωση δύο δικτύων είναι δύσκολο να εγκριθεί και εύκολο να απορριφθεί· ένα αίτημα για μία ονομασμένη υπηρεσία έχει απάντηση.

Αν η απάντηση είναι ναι, προτιμήστε τη στενότερη υποστηριζόμενη διαδρομή και κρατήστε την μέσα στους υπάρχοντες ελέγχους του οργανισμού. Ένα διαχειριζόμενο δεύτερο προφίλ ή μια καταχώριση εφαρμογής με περιορισμένο εύρος διατηρεί την παρακολούθηση και την πολιτική· μια ανταγωνιστική προσωπική ρύθμιση τις αντικαθιστά σιωπηλά, και κανείς δεν ξέρει ποια κερδίζει μετά την επόμενη ενημέρωση.

Συμπεριλάβετε τις επιδράσεις DNS και διαδρομών

Η επίλυση ονομάτων αλλάζει τη στιγμή που ένα δεύτερο προφίλ είναι ενεργό. Ένας προσωπικός πελάτης μπορεί να επιβάλει τον δικό του επιλυτή, ένας περιηγητής μπορεί να χρησιμοποιεί το δικό του κρυπτογραφημένο DNS, και ένας πίνακας πολιτικής μπορεί να δρομολογεί εσωτερικά ονόματα σε διαφορετικό διακομιστή απ' ό,τι περιμένει η εταιρική ρύθμιση. Κανένα από αυτά δεν απαιτεί προώθηση, και οποιοδήποτε από αυτά μπορεί να στείλει ένα εσωτερικό όνομα κεντρικού υπολογιστή στο λάθος μέρος.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Καταγράψτε αυτές τις τρεις εξόδους πριν και αφού συνδεθεί το δεύτερο προφίλ. Η διαφορά μεταξύ τους είναι το αποτέλεσμα που φτάνει πραγματικά στον χρήστη, και συχνά είναι μεγαλύτερο από την αλλαγή δρομολόγησης που περιγράφει το αίτημα. Κρατήστε και τις δύο καταγραφές ώστε ένας μεταγενέστερος ελεγκτής να δει τι άλλαξε και όχι τι είχε σκοπό.

Επαληθεύστε και κρατήστε διέξοδο

Δοκιμάστε την εγκεκριμένη εφαρμογή από την πραγματική διεργασία και το πλαίσιο χρήστη, όχι από κέλυφος διαχειριστή στο ίδιο μηχάνημα. Στη συνέχεια επιβεβαιώστε ότι άσχετοι προορισμοί παραμένουν μη προσπελάσιμοι όπου το σχέδιο το απαιτεί: ένα όριο που κανείς δεν δοκίμασε είναι ένα όριο που κανείς δεν μπορεί να επικαλεστεί. Η αποσύνδεση της προσωπικής σήραγγας θα πρέπει να επαναφέρει την προηγούμενη κατάσταση, και αυτή η επαναφορά αξίζει έλεγχο όσο κάποιος ακόμη κοιτάζει.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Η καθοδήγηση του NIST για αρχιτεκτονική μηδενικής εμπιστοσύνης είναι χρήσιμη εδώ επειδή αφαιρεί τη θέση στο δίκτυο ως αυτόματη πηγή εμπιστοσύνης, που είναι ακριβώς η υπόθεση υπό αμφισβήτηση. Το ερώτημα δεν είναι αν το οικιακό δίκτυο είναι αξιόπιστο από τη φύση του· είναι ποιος μπορεί να φτάσει σε ποιον πόρο, από ποιο τελικό σημείο, μέσω ποιου σημείου επιβολής. Απαντήστε σε αυτά τα τρία και κρατήστε τα στοιχεία μαζί με την απόφαση.