Kliendi VPN-juurdepääs: andke privilegeeritud tööle oma seade

Ühendusprofiil ütleb Production, tunnel tõuseb ja iga aken töölaual pääseb nüüd kliendi süsteemidele ligi. Miski selles järjestuses ei eraldanud privilegeeritud seanssi kõrvalolevast brauserivahekaardist. VPN-profiil on nimi pluss hulk marsruute; piir, millest te tegelikult hoolite, ehitatakse seadme identiteedist, kontrollitud täitmiskeskkonnast ja mandaatide teest. Neid kolme rakendatakse eri kohtades, mistõttu ühe lisamine ja teiste vahelejätmine annab lahenduse, mis näeb vastavana välja, kuid ei ole seda.

Profiili nimi ei ole piir

Klient rakendab marsruudid ja DNS-i seadistuse, kui tunnel tõuseb, ja kõik, mis pärast seda selles masinas jookseb, pärib mõlemad.

Nimi rippmenüüs muudab seda, mida operaator tunneb ära, mitte seda, mida operatsioonisüsteem lubab.

Seadme identiteet on see, mida lüüs saab kontrollida

Lüüs, mis toetab seadmesertifikaate või olekukontrolle, autendib nii masinat kui ka inimest. See on kiht, mis suudab keelduda ühendusest haldamata sülearvutist enne, kui keegi parooli sisestab. See annab ka midagi konkreetset tühistamiseks, kui seade läheb kaduma. Ühe sertifikaadi kopeerimine kolme masinasse eemaldab täpselt selle omaduse, mistõttu kuulub sertifikaadi elutsükkel kokkuleppesse, mitte jagatud kausta.

Klient otsustab, milliseid neist kontrollidest tema poliitika nõuab, ja tarnija ehitatud virtuaalmasin ei pruugi olekukontrollile üldse vastata.

Kus virtuaalmasina piir lekib

Virtuaalmasin hoiab kliendi tööriistad ja võrgu oleku koos ning see on tõesti kasulik. See sõltub aga ka oma hostist ja hüpervisorist ning mitmed mugavused ületavad piiri: jagatud kaustad, lõikelauale integreerimine, mandaadiagendid ja haldusjuurdepääs hosti tasandil. Privilegeeritud külaline igapäevaselt kasutatavas hostis ei ole iseseisvalt usaldusväärne, sest host saab jälgida, mida külaline teeb. Käsitlege virtuaalmasinat kontrollina, mis vähendab kokkupuudet, mitte eraldi turbedomeenina.

Spetsiaalne füüsiline seade eemaldab hostist sõltuvuse ja lisab selle asemel hoolduskohustuse.

Mandaadid ja ülekandetee

Kasutage iga inseneri ja iga kliendi jaoks eraldi tühistatavaid identiteete ning hoidke need eemal isiklikest brauseriprofiilidest ja vestlusajaloost. Terve meeskonna jagatud mandaate ei saa puhtalt omistada, roteerida ega tühistada. Määrake tööriistade, failide ja diagnostika väljundi ülekandetee enne esimest seanssi, sest juhuslik failide liigutamine on viis, kuidas piir vaikselt lakkab olemast piir. Kui kahte klienti tuleb korraga kätte saada, hankige esmalt võrgu ja identiteedi eraldamise kinnitus.

Ärge kunagi sildage kahte kliendivõrku ühe tööjaama kaudu ainult seetõttu, et see sel pärastlõunal mugav oli.

Kokkulepe, mis teeb selle korratavaks

Kirjutage iga kliendi kohta lühike kanne ja hoidke seda seal, kust mõlemad pooled selle leiavad. See peaks nimetama kinnitatud seadme või kaugkeskkonna ja selle hooldaja, lubatud identiteedid, süsteemid ja toimingud, millele need pääsevad, ülekandetee ning tavapärase viisi, kuidas seanss lõpeb.

Viis rida, mida keegi vaatab üle, kui inimene tuleb või lahkub, on parem kui poliitika, mida keegi rakendada ei suuda:

• Kinnitatud seade või kaugkeskkond koos nimetatud hooldusomanikuga.
• Tugiteenuse jaoks lubatud individuaalsed kasutaja- ja seadmeidentiteedid.
• Süsteemid ja toimingud, millele need identiteedid pääsevad.
• Lubatud tee tööriistade, failide ja diagnostika väljundi jaoks.
• Seansi lõpetamise protsess ja volitatud hädaalternatiiv.

Hädaabi juurdepääs mandaate liigutamata

Kui kontroll blokeerib kiire paranduse, on tee erandiprotsess, mitte teine sülearvuti samade mandaatidega. Kinnitatud erand registreerib, kes selle volitas, mida leevendati ja millal see lõpeb. Mandaadi liigutamine igapäevasesse masinasse muudab piiri halvimal võimalikul hetkel ja tavaliselt jääb see pärast muudetuks. Hädatee väärib proovi, kui miski ei ole katki.

Seejärel lõpetage seanss nii, nagu kokkulepe ütleb, ja kinnitage, et juurdepääs tõesti lakkas.