VPN برای دفتر کوچک: آن را از کنترلر دامنه دور نگه دارید

سه شرط تعیین می‌کند که آیا تنها سرور Windows دفتر باید VPN را نیز خاتمه دهد: چه مقدار نرم‌افزار متصل به اینترنت حاضرید روی دایرکتوری اجرا کنید، آیا می‌توانید کاربران راه دور را بدون آن نقش احراز هویت کنید، و وقتی میزبان دوباره راه‌اندازی می‌شود چه بر سر دسترسی مدیریتی شما می‌آید. اگر پاسخ هر یک از سه بد باشد، نقش‌ها را جدا کنید. کوچک بودن دفتر بودجه را تغییر می‌دهد، نه خطر را.

کنترلر دامنه مورد اعتماد هر ماشین در دامنه است؛ دروازه VPN برای هر کسی در اینترنت قابل دسترسی است. این عدم تقارن تمام استدلال است.

دو کار با دو پروفایل مواجهه متفاوت

دروازه اتصال‌هایی از بیرون می‌پذیرد، پس شنونده، پشته TLS و سطح احراز هویت آن همه از شبکه‌های غیرقابل اعتماد قابل دسترسی هستند. دایرکتوری اقتداری دارد که ماشین‌های دیگر به آن اعتماد می‌کنند، به همین دلیل راهنمای سخت‌سازی Microsoft نقش کنترلر دامنه و محیط میزبانی آن را به‌ویژه حساس می‌داند. هر سرویسی که به آن میزبان افزوده می‌شود موقعیت اعتماد دایرکتوری را به ارث می‌برد و سطح حمله خود را اضافه می‌کند. سهولت نصب مرز اعتماد نیست.

جدا کردن نقش‌ها وابستگی‌ها را از بین نمی‌برد. کاربران راه دور همچنان به احراز هویت، مسیرها، DNS و قواعد دسترسی نیاز دارند، و دروازه‌ای که آن‌ها را نادیده می‌گیرد امن‌تر نیست، فقط کم‌فایده‌تر است.

احراز هویت بدون نقش دایرکتوری

دروازه می‌تواند اعتبارنامه‌ها را از طریق یک یکپارچه‌سازی خارجی پشتیبانی‌شده بدون میزبانی خود دایرکتوری اعتبارسنجی کند. هر چه آن یکپارچه‌سازی باشد، حسابی به آن بدهید که اختیاراتش با هدف بخواند: خواندن ویژگی‌های لازم برای احراز هویت، نه بیشتر. پذیرش کاربران VPN هرگز مستلزم تبدیل حساب‌های معمولی آن‌ها به مدیران دامنه نیست و هرگز مستلزم نگه داشتن نسخه‌ای از دایرکتوری توسط دروازه نیست.

سپس مسیرهای شبکه‌ای را که کلاینت راه دور واقعاً نیاز دارد محدود کنید. دسترسی به یک سرویس فایل داخلی، به‌همراه سرویس‌های حل نام و هویت که آن جریان کاری به آن‌ها وابسته است، مجموعه‌ای مشخص از مسیرهاست. دلیلی برای مجاز دانستن هر درگاه کنترلر دامنه یا هر رابط مدیریتی از استخر VPN نیست.

یک میزبان هنوز یک دامنه خرابی است

دو مهمان روی یک هایپروایزر پیکربندی سیستم‌عامل خود را جدا می‌کنند و سرنوشت خود را جدا نمی‌کنند. مدیران هایپروایزر، سوئیچینگ مجازی، ذخیره‌سازی و نسخه‌های پشتیبان بخشی از طراحی می‌مانند، و راه‌اندازی مجدد میزبان هر دو سرویس را همزمان حذف می‌کند. نامیدن این دسترس‌پذیری بالا به این دلیل که نمودار دو VM را نشان می‌دهد اشتباهی رایج و گران است. اگر تنها راه بازگشت از VPN روی همان میزبان بگذرد، یک خرابی اتصال لازم برای تعمیر آن را از میان می‌برد.

پس یک مسیر مدیریت مستقل برنامه‌ریزی کنید که به تونل وابسته نباشد، و بنویسید چه چیزی در طول نگهداری در دسترس می‌ماند. به‌روزرسانی دروازه و نگهداری دایرکتوری را جداگانه زمان‌بندی کنید و یادداشت کنید هر وقفه کدام کاربران یا برنامه‌ها را لمس می‌کند.

پنجره نگهداری‌ای که برای تعمیر VPN به بالا بودن VPN نیاز دارد پنجره نگهداری نیست.

آن را بدون قفل شدن در بیرون جابه‌جا کنید

اگر نقش‌ها از قبل یک نصب را شریک‌اند، از مهاجرت راه دور شتاب‌زده بپرهیزید. آنچه دروازه امروز در اختیار دارد فهرست کنید: نشانی‌ها، قواعد ارسال، NAT، تنظیمات DNS، پیکربندی احراز هویت و هر سرویس منتشرشده. جایگزین و راه بازگشت را پیش از جابه‌جا کردن شنونده یا تغییر یک مسیر پیش‌فرض آماده کنید. سپس کار واقعی یک کاربر راه دور معمولی را از مرز جدید آزمایش کنید و تأیید کنید که دسترسی مدیریتی غیرضروری همچنان شکست می‌خورد.

هدف نمودار زیباتر نیست. توانایی تعمیر یا بازسازی VPN بدون دست زدن به جعبه‌ای است که اعتماد دایرکتوری را برای کل دفتر لنگر می‌اندازد. این‌ها اهداف متفاوتی هستند و فقط یکی از آن‌ها به سرور دوم نیاز دارد.

تصمیم را در هر صورت ثبت کنید، از جمله شرایطی که آن را دوباره باز می‌کند. یک دفتر کوچک رشد می‌کند، و پاسخی که به یک سرور می‌خورد ممکن است به سرور بعدی نخورد.