Bulego txikiko VPNa: eduki kontrolatzaile domeinutik kanpo

Hiru baldintzek erabakitzen dute bulegoko Windows zerbitzari bakarrak VPNa ere amaitu behar duen: zenbat interneteko software exekutatzeko prest zauden direktorioan, autentifikatu ditzakezun urruneko erabiltzaileak rol hori gabe, eta zer gertatzen den zure kudeaketa-sarbidearekin ostalaria berrabiarazten denean. Hiruetako edozeinek erantzun txarra badu, bereizi rolak. Bulegoa txikia izateak aurrekontua aldatzen du, ez arriskua.

Domeinuko makineria guztiek domeinu-kontrolatzailean konfiantza dute; interneteko edonork har dezake VPN ate batera. Asimetria hori da argumentu osoa.

Bi lan eta bi esposizio-profil desberdin

Ateak kanpotik datozen konexioak onartzen ditu, beraz bere entzulea, TLS pila eta autentifikazio-azalera guztiak sare ez-konfiantzaketatik irisgarriak dira. Direktorioak beste makinek konfiantza duten autoritatea du, eta horregatik Microsofteren gogortze-gidalerroek domeinu-kontrolatzailearen rola eta ostalaritza-ingurunea bereziki sentikortzat jotzen dituzte. Ostalari horri gehitzen zaion zerbitzu bakoitzak direktorioaren konfiantza-posizioa heredatzen du eta bere eraso-azalera gehitzen dio. Instalatzeko erraztasuna ez da konfiantza-muga.

Rolak bereizteak ez ditu mendekotasunak kentzen. Urruneko erabiltzaileek autentifikazioa, ibilbideak, DNSa eta sarbide-arauak behar dituzte oraindik, eta horiek saihesten dituen ate bat ez da seguruagoa, soilik erabilgarriagoa ez dena.

Autentifikazioa direktorio-rolik gabe

Ate batek kredentzialak kanpoko integrazio bateragarri baten bidez baliozta ditzake direktorioa bera ostatatu gabe. Integrazioa edozein dela ere, eman zereginari dagozkion eskubideak dituen kontu bat: autentifikatzeko behar diren atributuak irakurtzea, besterik ez. VPN erabiltzaileak onartzeak ez du inoiz eskatzen haien kontu arruntak domeinu-administratzaile bihurtzea, ezta atea direktorioaren kopia bat edukitzea ere.

Ondoren, mugatu urruneko bezeroak benetan behar dituen sare-ibilbideak. Barneko fitxategi-zerbitzu baterako sarbidea, lan-fluxu horrek behar dituen izen-ebazpen eta identitate zerbitzuekin batera, ibilbide-multzo zehaztua da. Ez da VPN multzotik domeinu-kontrolatzailearen ataka guztiak edo administrazio-interfaze guztiak baimentzeko arrazoia.

Ostalari bat hutsegite-domeinu bat da oraindik

Hipervisore bakarreko bi ostalarik beren sistema eragilearen konfigurazioa bereizten dute eta ez dute beren patua bereizten. Hipervisorearen administratzaileek, kommutazio birtualak, biltegiratzeak eta babeskopiek diseinuaren parte izaten jarraitzen dute, eta ostalariaren berrabiarazteak bi zerbitzuak batera kentzen ditu. Horri erabilgarritasun handia deitzea diagramak bi VM erakusten dituelako ohiko akats garestia da. Itzultzeko bide bakarra ostalari horretako VPNatik badoa, hutsegiteak konpontzeko behar den konexioa kentzen du.

Beraz, planifikatu tunelean mendekatzen ez den kudeaketa-bide independente bat, eta idatzi mantentze-lanetan zer geratzen den erabilgarri. Programatu ateen eguneraketak eta direktorioaren mantentzea bereizita, etenaldi bakoitzak zein erabiltzaile edo aplikazio ukitzen dituen adieraziz.

VPNa konpontzeko VPNa martxan egotea eskatzen duen mantenimendu-leihoa ez da mantenimendu-leihoa.

Mugitu kanpoan itxi gabe

Rolak instalazio bat partekatzen ari badira, saihestu urruneko migrazio azkar bat. Inbentarioa egin atek gaur zer duen: helbideak, birbidaltze-arauak, NAT, DNS ezarpenak, autentifikazio-konfigurazioa eta argitaratutako zerbitzuak. Prestatu ordezkoa eta itzultzeko bidea entzulea mugitu edo ibilbide lehenetsia aldatu aurretik. Ondoren, probatu urruneko erabiltzaile arrunt baten benetako lana muga berritik, eta egiaztatu beharrezkoa ez den administrazio-sarbideak huts egiten jarraitzen duela.

Helburua ez da diagrama politagoa. VPNa konpondu edo berreraikitzeko gaitasuna da, bulego osoaren direktorio-konfiantza ainguratuta duen kutxa ukitu gabe. Helburu desberdinak dira, eta horietako batek soilik behar du bigarren zerbitzari bat.

Erregistratu erabakia edonola ere, berriro irekiko luketen baldintzak barne. Bulego txikiak hazten dira, eta zerbitzari batera egokitzen zen erantzunak agian ez du hurrengora egokituko.