Acceso de clientes por VPN: dé al trabajo privilegiado su propio dispositivo

El perfil de conexión dice Producción, el túnel se levanta y cada ventana del escritorio ya puede llegar a los sistemas del cliente. Nada en esa secuencia separó la sesión privilegiada de la pestaña del navegador que estaba al lado. Un perfil VPN es un nombre más un conjunto de rutas; el límite que de verdad le importa se construye con la identidad del dispositivo, un entorno de ejecución controlado y una ruta para las credenciales. Esos tres se aplican en lugares distintos, y por eso añadir uno y omitir los demás produce un diseño que parece conforme y no lo es.

El nombre de un perfil no es un límite

El cliente aplica rutas y configuración de DNS cuando se levanta el túnel, y todo lo que después se ejecuta en esa máquina hereda ambas cosas.

Un nombre en un desplegable cambia lo que reconoce un operador, no lo que permite el sistema operativo.

La identidad del dispositivo es lo que la pasarela puede comprobar

Una pasarela que admite certificados de dispositivo o comprobaciones de estado autentica la máquina además de la persona. Esa es la capa que puede rechazar una conexión desde un portátil no gestionado antes de que nadie escriba una contraseña. También le da algo concreto que revocar cuando se pierde un dispositivo. Copiar un certificado en tres máquinas elimina exactamente esa propiedad, y por eso el ciclo de vida del certificado pertenece al acuerdo y no a una carpeta compartida.

El cliente decide cuáles de esos controles exige su política, y una máquina virtual construida por un proveedor puede no satisfacer en absoluto una comprobación de estado.

Dónde pierde estanqueidad el límite de una máquina virtual

Una máquina virtual mantiene juntas las herramientas del cliente y el estado de la red, y eso es realmente útil. También depende de su anfitrión y del hipervisor, y varias comodidades cruzan la línea: carpetas compartidas, integración del portapapeles, agentes de credenciales y acceso de administración a nivel de anfitrión. Un invitado privilegiado en un anfitrión de uso diario no es fiable de forma independiente, porque el anfitrión puede observar lo que hace el invitado. Trate la máquina virtual como un control que reduce la exposición, no como un dominio de seguridad separado.

Un dispositivo físico dedicado elimina la dependencia del anfitrión y añade en su lugar una obligación de mantenimiento.

Credenciales y rutas de transferencia

Use identidades individuales y revocables por ingeniero y por cliente, y manténgalas fuera de los perfiles personales del navegador y del historial de chat. Las credenciales compartidas por todo un equipo no se pueden atribuir, rotar ni revocar de forma limpia. Decida la ruta de transferencia de herramientas, archivos y salida de diagnóstico antes de la primera sesión, porque el movimiento improvisado de archivos es la forma en que un límite deja de serlo en silencio. Si hay que llegar a dos clientes a la vez, obtenga primero la aprobación de la separación de red e identidad.

Nunca puentee dos redes de clientes a través de una sola estación de trabajo solo porque esa tarde resultaba cómodo.

El acuerdo que lo hace repetible

Escriba un registro breve por cliente y guárdelo donde ambas partes puedan encontrarlo. Debe nombrar el dispositivo o entorno remoto aprobado y quién lo mantiene, las identidades permitidas, los sistemas y operaciones a los que pueden llegar, la ruta de transferencia y la forma normal en que termina una sesión.

Cinco líneas que alguien revisa cuando una persona entra o sale superan a una política que nadie puede aplicar:

• Dispositivo o entorno remoto aprobado, con un responsable de mantenimiento nombrado.
• Identidades individuales de usuario y de dispositivo permitidas para el soporte.
• Sistemas y operaciones a los que esas identidades pueden llegar.
• Ruta permitida para herramientas, archivos y salida de diagnóstico.
• Proceso de fin de sesión y una alternativa de emergencia autorizada.

Acceso de emergencia sin mover credenciales

Cuando un control bloquea una reparación urgente, el camino es el proceso de excepción, no un segundo portátil que lleva las mismas credenciales. Una excepción aprobada registra quién la autorizó, qué se relajó y cuándo termina. Mover una credencial a una máquina de uso diario cambia el límite en el peor momento posible, y normalmente sigue cambiado después. La ruta de emergencia merece un ensayo mientras nada está roto.

Después cierre la sesión como dice el acuerdo y confirme que el acceso se detuvo de verdad.