دسترسی مشتریان از طریق VPN: به کار ممتاز دستگاه خودش را بدهید
لپ‌تاپی برای پشتیبانی که ایمیل هم می‌خواند راهی به شبکهٔ مشتری است. پیش از نخستین ورود، مرز دستگاه، هویت و نشست را تعریف کنید.
مشخصات اتصال می‌گوید Production، تونل بالا می‌آید و هر پنجره‌ای روی میزکار اکنون می‌تواند به سامانه‌های مشتری برسد. هیچ‌چیز در آن زنجیره، نشست ممتاز را از زبانهٔ مرورگر کنارش جدا نکرد. مشخصات VPN یک نام به‌همراه مجموعه‌ای از مسیرهاست؛ مرزی که واقعاً برایتان مهم است از هویت دستگاه، محیط اجرای کنترل‌شده و مسیر اعتبارنامه ساخته می‌شود. این سه در جای‌های متفاوت اعمال می‌شوند، و به همین دلیل افزودن یکی و رها کردن بقیه طرحی می‌سازد که منطبق به نظر می‌رسد و نیست.
نام مشخصات، مرز نیست
کارخواه هنگام بالا آمدن تونل مسیرها و پیکربندی DNS را اعمال می‌کند و هر چیزی که پس از آن روی آن ماشین اجرا شود هر دو را به ارث می‌برد.
نامی در یک فهرست کشویی چیزی را عوض می‌کند که اپراتور می‌شناسد، نه چیزی را که سیستم‌عامل اجازه می‌دهد.
هویت دستگاه همان چیزی است که دروازه می‌تواند بررسی کند
دروازه‌ای که گواهی دستگاه یا بررسی وضعیت را پشتیبانی می‌کند، هم ماشین و هم شخص را تأیید هویت می‌کند. همین لایه است که می‌تواند پیش از نوشتن گذرواژه توسط کسی، اتصال از یک لپ‌تاپ مدیریت‌نشده را رد کند. همچنین چیزی مشخص برای ابطال در اختیارتان می‌گذارد وقتی دستگاهی گم می‌شود. کپی کردن یک گواهی روی سه ماشین دقیقاً همان ویژگی را از بین می‌برد، و به همین دلیل چرخهٔ عمر گواهی به توافق تعلق دارد نه به یک پوشهٔ مشترک.
مشتری تعیین می‌کند سیاستش کدام‌یک از این کنترل‌ها را می‌خواهد، و ممکن است یک ماشین مجازی ساختهٔ تأمین‌کننده اصلاً بررسی وضعیت را برآورده نکند.
کجا مرز ماشین مجازی نشت می‌کند
ماشین مجازی ابزارهای مشتری و وضعیت شبکه را کنار هم نگه می‌دارد و این واقعاً سودمند است. اما به میزبان و هایپروایزر خود هم وابسته است، و چند آسودگی از مرز عبور می‌کند: پوشه‌های مشترک، یکپارچگی بریده‌دان، عامل‌های اعتبارنامه و دسترسی مدیریتی در سطح میزبان. یک مهمان ممتاز روی میزبانِ مصرف روزانه به‌طور مستقل قابل اعتماد نیست، چون میزبان می‌تواند ببیند مهمان چه می‌کند. ماشین مجازی را کنترلی بدانید که مواجهه را کم می‌کند، نه دامنهٔ امنیتی جداگانه.
دستگاه فیزیکی اختصاصی وابستگی به میزبان را برمی‌دارد و در عوض تعهد نگهداری اضافه می‌کند.
اعتبارنامه‌ها و مسیرهای انتقال
برای هر مهندس و هر مشتری از هویت‌های فردی و قابل ابطال استفاده کنید و آن‌ها را بیرون از نمایه‌های شخصی مرورگر و تاریخچهٔ گفتگو نگه دارید. اعتبارنامه‌هایی که تمام یک تیم به اشتراک می‌گذارند به‌درستی قابل نسبت‌دادن، چرخش یا ابطال نیستند. پیش از نخستین نشست، مسیر انتقال ابزارها، فایل‌ها و خروجی تشخیصی را تعیین کنید، چون جابه‌جایی موردی فایل‌ها همان راهی است که یک مرز بی‌صدا از مرز بودن باز می‌ماند. اگر باید هم‌زمان به دو مشتری رسید، نخست جداسازی شبکه و هویت را تأیید بگیرید.
هرگز دو شبکهٔ مشتری را فقط به این دلیل که آن بعدازظهر راحت بود از یک ایستگاه کاری به هم پل نزنید.
توافقی که آن را تکرارپذیر می‌کند
برای هر مشتری یک سابقهٔ کوتاه بنویسید و آن را جایی نگه دارید که هر دو طرف پیدایش کنند. باید دستگاه یا محیط دور تأییدشده و مسئول نگهداری آن، هویت‌های مجاز، سامانه‌ها و عملیاتی که می‌توانند به آن برسند، مسیر انتقال و شیوهٔ معمول پایان یک نشست را نام ببرد.
پنج خطی که کسی هنگام ورود یا خروج یک نفر بازبینی می‌کند از سیاستی که هیچ‌کس نمی‌تواند اعمال کند بهتر است:
- دستگاه یا محیط دور تأییدشده، با مالک نگهداری نام‌برده.
- هویت‌های فردی کاربر و دستگاه که برای پشتیبانی مجازند.
- سامانه‌ها و عملیاتی که این هویت‌ها می‌توانند به آن برسند.
- مسیر مجاز برای ابزارها، فایل‌ها و خروجی تشخیصی.
- فرایند پایان نشست و جایگزین اضطراری مجاز.
دسترسی اضطراری بدون جابه‌جایی اعتبارنامه
وقتی کنترلی مانع یک تعمیر فوری می‌شود، مسیر همان فرایند استثناست، نه یک لپ‌تاپ دوم که همان اعتبارنامه‌ها را دارد. استثنای تأییدشده ثبت می‌کند چه کسی آن را مجاز کرد، چه چیزی ملایم شد و چه وقت پایان می‌یابد. جابه‌جا کردن اعتبارنامه به ماشینِ مصرف روزانه، مرز را در بدترین لحظهٔ ممکن عوض می‌کند و معمولاً بعد از آن هم عوض‌شده می‌ماند. مسیر اضطراری شایستهٔ یک تمرین است وقتی هیچ چیز خراب نیست.
سپس نشست را همان‌گونه که توافق می‌گوید پایان دهید و تأیید کنید که دسترسی واقعاً متوقف شده است.