Töölaptop isiklikus VPN-is: mis tegelikult üle läheb

Ettevõtte sülearvuti ühendamine kodu-VPN-iga paneb selle korraga kahte kohta, ja huvitav küsimus on väiksem ja kasulikum kui murettekitav. Keegi ei vedanud Ethernet-kaablit kontori ja kodu vahele ning ükski marsruut ei tee koduvõrgust ettevõtte alavõrgu laiendust. Olemas on üks lõpp-punkt, millel on juurdepääs mõlemale keskkonnale, ja kolm eraldi mehhanismi otsustavad, mis saab nende vahel tegelikult liikuda. Nende kolme läbimine lõpp-punktist väljapoole annab vastuse, mille järgi administraator saab tegutseda, mitte vaidluse siltide üle.

Alustage lõpp-punktist, mitte võrguskeemist

Lõpp-punkt on koht, kus mõlemad ühendused kohtuvad, seega algab sealt ülevaatus: millised protsessid töötavad, mida need saavad kätte ja kes neid juhib. Skeem, mis näitab kahte sülearvutiga ühendatud pilve, on täpne ja kasutu, sest see eeldab ühendust, mida ei pruugi olla. Asendage see nimekirjaga rakendustest, mis saavad iga keskkonnaga suhelda, ja märkige, millise konto all igaüks töötab. See raamistatus hoiab ülevaatuse ka proportsionaalsena, sest kahe tunneliga sülearvuti ei ole sama objekt kui kaks kokku ühendatud võrku.

See nimekiri on inventar, mille põhjal ülejäänud ülevaatus töötab. Kui see sisaldab sünkroonimisklienti, mõlemasse keskkonda sisse logitud brauseriprofiili ja identimisandmetega ehitusteagenti, on ülevaatusel oma objektid juba olemas.

Kolm ületuspunkti, vaadatud eraldi

Rakenduste juurdepääs on esimene ületuspunkt ja see ei nõua mingit edasisaatmist. Brauseri vahekaart, sünkroonimisklient või ehitusteagent lõpp-punktis saab lugeda ühe keskkonna ressursist ja esitada andmeid teise keskkonna ressursile. See võimekus on olemas olenemata sellest, kas operatsioonisüsteem saadab pakette liideste vahel edasi, ja just selle mehhanismi jätavad inimesed kahe silma vahele, kui järeldavad, et sild puudub tähendab risk puudub. Seetõttu annab rakenduste nimekirja lugemine rohkem teavet kui liideste nimekirja lugemine.

Identiteet ja andmed moodustavad teise ületuspunkti. Ettevõtte identimisandmed, sessiooniküpsised, alla laaditud dokumendid ja haldusõigused asuvad lõpp-punktis ning teise võrku liitumine ei paljasta neid iseenesest. Muutub nende osapoolte hulk, kes võiksid lõpp-punkti mõjutada, kui see neid identimisandmeid hoiab, ja see on küsimus isikliku võrgu usaldusväärsusest, mitte marsruutimisest. See on otsustus, mida lõpp-punkti omanik ei saa üksi teha, ja sellele ei vasta edasisaatmisreegli puudumine.

Võrgu edasisaatmine on kolmas ja ainus, mis saab sülearvuti muuta transiitseadmeks. IP edasisaatmine, internetiühenduse jagamine, puhverserver või silla funktsioon saavad seda teha, ja igaüks neist on seade, mis on kas lubatud või mitte. Kontrollige seda olekut otse, selle asemel et tuletada seda VPN-kliendi olemasolust. Hallatud masinas on vastus tavaliselt ei, ja selle kontrollimine muudab oletuse faktiks, mida tasub kirja panna.

Küsige ühte ressurssi, mitte kahte võrku

Enamik tegelikke nõudeid on kitsamad, kui need esmapilgul paistavad: üks konsool, üks failikataloog, üks sisemine veebirakendus. Sõnastage nõue nii ja laske ressursi omanikul otsustada, kas see üldse kuulub selle lõpp-punkti juurde. Kahe võrgu liitumisena sõnastatud taotlust on raske heaks kiita ja lihtne tagasi lükata; ühe nimetatud teenuse taotlusel on vastus.

Kui vastus on jah, eelistage kõige kitsamat toetatud teed ja hoidke see organisatsiooni olemasolevate kontrollide sees. Hallatud teine profiil või piiratud ulatusega rakendusekirje säilitab jälgimise ja poliitika; konkureeriv isiklik seade asendab need vaikselt ja keegi ei tea, milline järgmise uuenduse järel võidab.

Kaasake DNS-i ja marsruutide mõju

Nimede lahendamine muutub hetkel, mil teine profiil on aktiivne. Isiklik klient võib peale suruda oma lahendaja, brauser võib kasutada oma krüpteeritud DNS-i ja poliitikatabel võib suunata sisemised nimed teisele serverile, kui ettevõtte seade eeldab. Miski neist ei nõua edasisaatmist ja igaüks neist võib saata sisemise hostinime valesse kohta.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Jäädvustage need kolm väljundit enne ja pärast teise profiili ühendamist. Nende vahe on mõju, mis tegelikult kasutajani jõuab, ja see on sageli suurem kui piletis kirjeldatud marsruudimuudatus. Hoidke mõlemad salvestused, et hilisem ülevaataja näeks, mis muutus, mitte mis oli kavatsetud.

Kontrollige ja jätke väljapääs

Testige kinnitatud rakendust tegelikust protsessist ja kasutajakontekstist, mitte sama masina administraatori kestast. Seejärel kinnitage, et kõrvalised sihtkohad jäävad kättesaamatuks seal, kus disain seda nõuab: piir, mida keegi ei testinud, on piir, millele keegi ei saa viidata. Isikliku tunneli lahutamine peaks taastama varasema oleku, ja seda taastamist tasub kontrollida, kui keegi veel vaatab.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-i juhis nullusalduse arhitektuuri kohta on siin kasulik, sest see eemaldab võrguasukoha automaatse usaldusallikana, mis on täpselt see eeldus, mille üle vaieldakse. Küsimus ei ole, kas koduvõrk on oma olemuselt usaldusväärne; küsimus on, kes pääseb millisele ressursile, millisest lõpp-punktist ja millise jõustamispunkti kaudu. Vastake nendele kolmele ja hoidke tõendid otsuse juures.