Väikekontori VPN: hoidke see domeenikontrollerist eemal

Kolm tingimust otsustavad, kas kontori ainus Windows-server peaks ka VPN-i lõpetama: kui palju internetti suunatud tarkvara olete nõus kataloogis käivitama, kas saate kaugkasutajaid autentida ilma selle rollita ja mis juhtub teie haldusjuurdepääsuga, kui host taaskäivitub. Kui mõnel kolmest on halb vastus, eraldage rollid. See, et kontor on väike, muudab eelarvet, mitte riski.

Domeenikontrollerit usaldab iga domeeni masin; VPN-i lüüs on kättesaadav kõigile internetis. See asümmeetria on kogu argument.

Kaks tööd kahe erineva kokkupuuteprofiiliga

Lüüs võtab vastu ühendusi väljast, seega on selle kuulaja, TLS-i virn ja autentimispind kõik ebausaldusväärsetest võrkudest kättesaadavad. Kataloogil on autoriteet, mida teised masinad usaldavad, seepärast käsitlevad Microsofti kõvendusjuhised domeenikontrolleri rolli ja selle hostimiskeskkonda eriti tundlikena. Iga sellele hostile lisatud teenus pärib kataloogi usalduspositsiooni ja lisab oma ründepinna. Paigaldamise mugavus ei ole usalduspiir.

Rollide eraldamine ei kõrvalda sõltuvusi. Kaugkasutajad vajavad endiselt autentimist, marsruute, DNS-i ja juurdepääsureegleid ning lüüs, mis need vahele jätab, ei ole turvalisem, vaid vähem kasulik.

Autentimine ilma kataloogi rollita

Lüüs saab valideerida volitusi toetatud välise integratsiooni kaudu, ilma et hostiks kataloogi ennast. Ükskõik milline see integratsioon on, andke sellele konto, mille õigused vastavad eesmärgile: lugeda autentimiseks vajalikke atribuute, mitte rohkem. VPN-i kasutajate lubamine ei nõua kunagi nende tavaliste kontode tegemist domeeniadministraatoriteks ega nõua kunagi, et lüüs hoiaks kataloogi koopiat.

Seejärel piirake võrguteed, mida kaugklient tegelikult vajab. Juurdepääs ühele sisemisele failiteenusele, pluss nimeresolutsiooni- ja identiteediteenused, millest see töövoog sõltub, on määratletud teede kogum. See ei ole põhjus lubada iga domeenikontrolleri porti ega iga haldusliidest VPN-i baasist.

Üks host on endiselt üks tõrkedomeen

Kaks külalist ühel hüpervisoril eraldavad oma operatsioonisüsteemi konfiguratsiooni ega eralda oma saatust. Hüpervisori administraatorid, virtuaalne kommuteerimine, salvestusruum ja varukoopiad jäävad projekti osaks ning hosti taaskäivitamine eemaldab mõlemad teenused korraga. Nimetada seda kõrgeks kättesaadavuseks, sest diagrammil on kaks VM-i, on tavaline ja kallis viga. Kui ainus tee tagasi kulgeb selle hosti VPN-i kaudu, võtab tõrge ära ühenduse, mida selle parandamiseks vaja on.

Seega kavandage sõltumatu haldustee, mis ei sõltu tunnelist, ja kirjutage üles, mis jääb hoolduse ajal kättesaadavaks. Planeerige lüüsi uuendused ja kataloogi hooldus eraldi, märkides, milliseid kasutajaid või rakendusi iga katkestus puudutab.

Hooldusaken, mis nõuab VPN-i töötamist, et VPN-i parandada, ei ole hooldusaken.

Liigutage seda end välja lukustamata

Kui rollid juba jagavad ühte paigaldust, vältige kiirustavat kaugmigratsiooni. Inventeerige, mida lüüs täna omab: aadressid, edastusreeglid, NAT, DNS-i seaded, autentimiskonfiguratsioon ja kõik avaldatud teenused. Valmistage ette nii asendus kui ka tagasitee enne kuulaja liigutamist või vaikemarsruudi muutmist. Seejärel testige tavalise kaugkasutaja tegelikku tööd läbi uue piiri ja kinnitage, et ebavajalik haldusjuurdepääs ikka ebaõnnestub.

Eesmärk ei ole ilusam diagramm. See on võime VPN-i parandada või ümber ehitada ilma seda kasti puutumata, mis ankurdab kataloogi usalduse kogu kontori jaoks. Need on erinevad eesmärgid ja ainult üks neist vajab teist serverit.

Kirjutage otsus igal juhul üles, sealhulgas tingimused, mis selle uuesti avaksid. Väike kontor kasvab ja ühele serverile sobiv vastus ei pruugi sobida järgmisele.