Laneko ordenagailua VPN pertsonalean: zer igarotzen den benetan

Enpresako ordenagailu bat etxeko VPN batera konektatzeak bi lekutan jartzen du aldi berean, eta galdera interesgarria kezkagarria dena baino txikiagoa eta erabilgarriagoa da. Inork ez zuen Ethernet kable bat jarri bulegoaren eta etxearen artean, eta inongo ibilbidek ez du etxeko sarea enpresaren azpisarearen luzapen bihurtzen. Dagoena bi ingurunetara sarbidea duen mutur bakarra da, eta hiru mekanismo bereizik erabakitzen dute zer mugi daitekeen benetan haien artean. Hiru horiek muturretik kanporantz zeharkatzeak administratzaile batek jardun dezakeen erantzuna ematen du, etiketei buruzko eztabaida baten ordez.

Hasi muturrean, ez sarearen diagraman

Muturra bi konexioak elkartzen diren tokia da, beraz han hasten da azterketa: zein prozesu exekutatzen diren, zer irits dezaketen eta nork kontrolatzen dituen. Ordenagailu batera konektatutako bi hodei erakusten dituen diagrama zehatza eta alferrikakoa da, agian existitzen ez den esteka bat iradokitzen duelako. Ordeztu ingurune bakoitzarekin hitz egin dezaketen aplikazioen zerrenda batekin, eta idatzi bakoitza zein kontutan exekutatzen den. Esparru horrek azterketa proportzionala ere mantentzen du, bi tunel dituen ordenagailua ez baita bi sare bateratu bezalako objektu bera.

Zerrenda hori gainerako azterketak erabiltzen duen inbentarioa da. Sinkronizazio bezero bat, bi ingurunetan saioa hasitako nabigatzaile profila eta kredentzialak dituen eraikuntza agentea baditu, azterketak baditu jada bere gaiak.

Hiru gurutzatze-puntu, bereiz aztertuta

Aplikazioen sarbidea lehen gurutzatze-puntua da, eta ez du birbidalketarik behar. Muturreko nabigatzaile fitxa batek, sinkronizazio bezero batek edo eraikuntza agente batek ingurune bateko baliabide batetik irakurri eta beste inguruneko baliabide batera datuak bidal ditzake. Gaitasun hori badago, sistema eragileak paketeak interfazeen artean birbidaltzen dituen edo ez alde batera, eta hori da jendeak ahazten duen mekanismoa zubirik ez badago arriskurik ez dagoela ondorioztatzean. Beraz, aplikazioen zerrenda irakurtzea interfazeen zerrenda irakurtzea baino informatiboagoa da.

Identitateak eta datuek bigarren gurutzatze-puntua osatzen dute. Kredentzial korporatiboak, saio cookieak, deskargatutako dokumentuak eta kudeaketa eskubideak muturrean bizi dira, eta beste sare batera batzeak ez ditu berez agerian uzten. Aldatzen dena muturrari eragin diezaiokeen alderdien multzoa da, kredentzial horiek mantentzen dituen bitartean, eta hori sare pertsonalaren fidagarritasunari buruzko galdera da, ez bideratzearen ingurukoa. Muturreko jabeak bakarrik egin ezin dezakeen judizioa da, eta ez dio erantzuten birbidalketa arau baten ez egoteak.

Sare birbidalketa hirugarrena da, eta ordenagailua trantsitu gailu bihur dezakeen bakarra. IP birbidalketak, internet konexioaren partekatzeak, proxy batek edo zubi funtzio batek egin dezakete, eta bakoitza gaituta dagoen edo ez dagoen konfigurazio bat da. Aztertu egoera hori zuzenean, VPN bezero baten presentziatik ondorioztatu beharrean. Kudeatutako makinan erantzuna normalean ez da, eta hura egiaztatzeak suposizio bat erregistratzea merezi duen egitate bihurtzen du.

Eskatu baliabide bat, ez bi sare

Benetako baldintza gehienak hasieran diruditena baino estuagoak dira: kontsola bat, fitxategi partekatze bat, barneko web aplikazio bat. Adierazi baldintza horrela eta utzi baliabidearen jabeari erabakitzen mutur honetan dagokion ala ez. Bi sare batzeari buruzko eskaera bat onartzeko zaila eta ukatzeko erraza da; zerbitzu jakin baterako eskaerak badu erantzunik.

Erantzuna bada bai, hobetsi onartutako biderik estuen eta mantendu erakundearen lehendik dauden kontrolen barruan. Kudeatutako bigarren profil batek edo irismen mugatuko aplikazio sarrera batek monitorizazioa eta politika mantentzen ditu; konfigurazio pertsonal lehiakor batek isil-isilik ordezkatzen ditu, eta inork ez daki zein nagusitzen den hurrengo eguneratzearen ondoren.

Sartu DNS eta ibilbideen ondorioak

Izenen ebazpena aldatzen da bigarren profil bat aktibo dagoen unean. Bezero pertsonal batek bere ebazpena inposa dezake, nabigatzaileak bere DNS enkriptatua erabil dezake, eta politika taula batek barne izenak enpresaren konfigurazioak espero duen beste zerbitzari batera bidera ditzake. Horietako batek ere ez du birbidalketarik behar, eta edozeinek barne ostalari izen bat toki okerrean utz dezake.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Hartu hiru irteera horiek bigarren profila konektatu aurretik eta ondoren. Haien arteko aldea erabiltzailearengana benetan iristen den ondorioa da, eta askotan tiketak deskribatzen duen bideratze aldaketa baino handiagoa da. Gorde bi harrapaketak, beranduagoko berrikusle batek zer aldatu zen ikus dezan, zer nahi zen beharrean.

Egiaztatu eta gorde irtenbidea

Probatu onartutako aplikazioa benetako prozesutik eta erabiltzaile testuingurutik, ez makina bereko administratzaile shell batetik. Ondoren egiaztatu erlazionatuta ez dauden helmugak iristezin jarraitzen dutela diseinuak hala eskatzen duenean: inork probatu ez duen muga inork aldarrikatu ezin dezakeen muga da. Tunel pertsonala deskonektatzeak aurreko egoera berrezarri beharko luke, eta berrezarpen hori egiaztatzea merezi du oraindik norbait begira dagoenean.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NISTen zero-trust arkitekturari buruzko gidalerroa erabilgarria da hemen, sare kokapena konfiantza iturri automatiko gisa kentzen duelako, eta hori da hain zuzen eztabaidagai den suposizioa. Galdera ez da etxeko sarea berez fidagarria den; galdera da nork zein baliabide lor dezakeen, zein muturretatik eta zein betearazpen puntutatik. Erantzun hiru horiei, eta gorde frogak erabakiarekin batera.