متمرکز کردن دسترسی VPN شرکا بدون ادغام شرکا

پیشنهاد معقول است: پنج تونل شریک پخش‌شده روی یک دوجین لپ‌تاپ، پنج مجموعه نسخه کلاینت، پنج اسکریپت میز پشتیبانی و یک مهندس که می‌داند این‌ها چگونه کنار هم می‌نشینند. بردنشان به یک لایه دسترسی کنترل‌شده پراکندگی نقاط پایانی را حل می‌کند. همچنین شیئی تازه در معماری شما می‌سازد، یک سرویس دسترسی مشترک که اکنون به مدل مجوزدهی خودش نیاز دارد، و شکستی که همه دست‌کم می‌گیرند دستگاهی مرکزی با همه تونل‌های فعال است که بی‌صدا به شبکه گذر میان سازمان‌هایی تبدیل می‌شود که هرگز نپذیرفته‌اند همسایه باشند. این ریسک یک انتخاب طراحی است، نه چیزی که سخت‌افزار به‌تنهایی انجام دهد. کار پایین این است که چگونه راحتی را نگه می‌دارم بدون پذیرفتن اثر جانبی ناخواسته.

از قراردادی شروع کنید که هر شریک پیش‌تر امضا کرده است

پیش از هر پیکربندی، تأیید کنید که شریک اصلاً یک دروازه مشترک یا اتصال سایت را مجاز می‌داند. حساب دسترسی از راه دور شخصی، الزام وضعیت دستگاه یا جریان تعاملی MFA ممکن است به یک تونل مشترک بدون نظارت قابل انتقال نباشد، و جمع کردن کارمندان پشت یک هویت کلاینت کپی‌شده همان میان‌بری است که زنده می‌ماند تا وقتی شریک گزارش‌هایش را بررسی کند. برای هر اتصال مجاز، محدوده‌های مقصد، دامنه‌های DNS خصوصی، منابع داخلی مجاز، مالک احراز هویت و آنچه باید در صورت شکست تونل رخ دهد را ثبت کنید. از شریک بخواهید اتصال مشترک را کتبی تأیید کند، شامل محدوده‌های مبدأ که خواهد پذیرفت. تأیید شفاهی معمولاً در هفته‌ای که تیم امنیتی‌شان عوض می‌شود معنایش تغییر می‌کند.

همان ثبت، خروجی کار است. اگر نمی‌توانید آن را برای یک شریک بنویسید، آن شریک آماده متمرکز شدن نیست.

بر اساس بافت مسیریابی کنید، نه فقط بر اساس مقصد

سرانجام دو شریک از یک محدوده خصوصی یکسان استفاده می‌کنند، چون هر سازمانی از همان فضای RFC 1918 انتخاب می‌کند. یک جدول مسیریابی معمولی نمی‌تواند تنها از روی آدرس مقصد شریک درست را انتخاب کند، پس محدوده‌های هم‌پوشان به بافت‌های مسیریابی جداگانه یا طراحی دیگری که توافق شود نیاز دارند. مدل دامنه ارسال در RFC 4364 توضیح می‌دهد چرا این جداسازی مهم است، و یک استقرار لازم نیست MPLS اجرا کند تا همان ویژگی را از بستر دروازه‌اش بخواهد.

از بستر یک پرسش بی‌پرده بپرسید: آیا دو شریک می‌توانند یک پیشوند مقصد را شریک شوند و باز هم با بافت کارمندی که نشست از آن آمده است از هم تشخیص داده شوند؟ اگر پاسخ نه است، این محدودیت بیش از هر فهرست امکانات فروشنده طراحی را شکل می‌دهد.

جایی که پاسخ بله است، بافت مسیریابی چیزی می‌شود که مستند و آزمون می‌کنید، چون در traceroute نامرئی است.

تصمیم بگیرید کارمند چه می‌نویسد و شریک چه ثبت می‌کند

بخشی از کار شریک به یک پروکسی برنامه یا یک فضای کار دور که در بافت همان شریک باز می‌شود می‌خورد. کار دیگر به دسترسی شبکه مسیریابی‌شده از یک بخش کارمندی تأییدشده نیاز دارد، و این دو در انتهای دور آدرس‌های مبدأ و ردهای بازرسی متفاوت تولید می‌کنند. یک آدرس مبدأ ترجمه‌شده مشترک می‌تواند فهرست مجاز را برآورده کند و در همان حال پنهان کند کدام دستگاه چه کرد، پس ثبت مطمئن پیوند کارمند به نشست را نگه دارید و احراز هویت برنامه را سر جایش بگذارید، به‌جای اینکه آدرس دروازه را هویت بدانید، که راحت است تا همان لحظه‌ای که شریک می‌پرسد چه کسی این کار را کرد.

بعد یک کار واقعی را از سمت کارمند راه بروید: چه چیزی را کلیک می‌کنند، چه چیزی از آن‌ها خواسته می‌شود و شریک اگر یک رکورد گزارش می‌خواست چه می‌دید. اگر این گام تکرارپذیر نیست، طراحی تمام نشده است.

گذر بین شرکا را صریحاً منع کنید

سخت‌افزار مشترک هرگز نباید معنای اعتماد مشترک داشته باشد. منع را به‌عنوان قاعده‌ای آگاهانه با مالکی نام‌برده اضافه کنید، نه تصادفی از پیکربندی جاافتاده، و آن را در هر دو جهت با درخواستی که در غیر این صورت موفق می‌شد بیازمایید. آزمون مهم است چون مجوزی که فقط غایب است را می‌تواند مهندس بعدی که مسیری برای رفع شکایتی نامرتبط اضافه می‌کند بازگرداند.

منع را در ثبت شریک کنار مجوزها بنویسید، تا قصد پس از تغییر نیرو باقی بماند.

آن را به‌عنوان سرویس مشترک اجرا کنید، نه لپ‌تاپی بزرگ‌تر

نوسازی تونل، چرخش اعتبارنامه‌ها، ظرفیت و جایگزینی دروازه اکنون همه تغییرات سرویس مشترک می‌شوند، یعنی به زمان‌بندی و مسیر ارتباطی نیاز دارند که لپ‌تاپ‌های فردی هرگز نمی‌خواستند. گواهی شریکی که شنبه منقضی می‌شود دیگر قطعی یک کاربر نیست؛ همه نشست‌های آن شریک به‌طور هم‌زمان است.

این لایه را تنها وقتی بپذیرید که درخواست ردشده بین دو شریک دقیقاً همان‌طور که مقصود است شکست بخورد و درخواست مجاز کارمند با مبدأ درست به مقصد درست برسد. برداشتن تعارض لپ‌تاپ‌ها با نگه‌داشتن مرز هر شریک دست‌نخورده تمام نکته است؛ طراحی‌ای که در آن هر پیشوند دور از هر میزی در دسترس باشد فقط مشکل را جابه‌جا کرده است.

جدول کوچکی از شریک، بافت، محدوده‌های مجاز و مالک نگه دارید. اولین چیزی خواهد بود که کسی در یک رخداد می‌پرسد.