لپ‌تاپ کاری روی VPN شخصی: آنچه واقعاً عبور می‌کند

اتصال لپ‌تاپ شرکتی به یک VPN خانگی آن را همزمان در دو جا قرار می‌دهد، و پرسش جالب کوچک‌تر و سودمندتر از پرسش نگران‌کننده است. هیچ‌کس کابل اترنت میان دفتر و خانه نکشیده است، و هیچ مسیری شبکه خانگی را به امتداد زیرشبکه شرکتی تبدیل نمی‌کند. آنچه وجود دارد یک نقطه پایانی واحد با دسترسی به هر دو محیط است، و سه سازوکار جدا تعیین می‌کنند که واقعاً چه چیزی می‌تواند میان آنها جابه‌جا شود. طی کردن این سه، از نقطه پایانی به بیرون، پاسخی می‌دهد که مدیر می‌تواند بر پایه آن اقدام کند، نه بحثی درباره برچسب‌ها.

از نقطه پایانی شروع کنید، نه از نمودار شبکه

نقطه پایانی جایی است که هر دو اتصال به هم می‌رسند، پس بررسی از همان‌جا آغاز می‌شود: کدام فرایندها اجرا می‌شوند، به چه چیزی دسترسی دارند و چه کسی آنها را کنترل می‌کند. نموداری که دو ابر متصل به یک لپ‌تاپ را نشان می‌دهد دقیق و بی‌فایده است، چون پیوندی را القا می‌کند که شاید وجود نداشته باشد. آن را با فهرستی از برنامه‌هایی جایگزین کنید که می‌توانند با هر محیط سخن بگویند، و بنویسید هر کدام زیر کدام حساب اجرا می‌شود. این چارچوب بررسی را متناسب هم نگه می‌دارد، زیرا لپ‌تاپی با دو تونل همان شیء دو شبکه پیوسته نیست.

آن فهرست همان صورت‌برداری است که بقیه بررسی بر پایه آن کار می‌کند. اگر شامل یک کارخواه همگام‌سازی، یک نمایه مرورگر واردشده به هر دو محیط و یک عامل ساخت با اعتبارنامه باشد، بررسی از پیش موضوع‌های خود را دارد.

سه نقطه گذر، جداگانه بررسی‌شده

دسترسی برنامه‌ها نخستین نقطه گذر است و به هیچ ارسال بسته‌ای نیاز ندارد. یک زبانه مرورگر، یک کارخواه همگام‌سازی یا یک عامل ساخت روی نقطه پایانی می‌تواند از منبعی در یک محیط بخواند و داده را به منبعی در محیط دیگر بفرستد. این توانایی مستقل از آن وجود دارد که نظام‌عامل بسته‌ها را میان واسط‌ها ارسال کند یا نه، و همان سازوکاری است که مردم هنگام نتیجه‌گیری از نبود پل به نبود خطر از دست می‌دهند. بنابراین خواندن فهرست برنامه‌ها آگاهی‌بخش‌تر از خواندن فهرست واسط‌هاست.

هویت و داده دومین نقطه گذر را می‌سازند. اعتبارنامه‌های شرکتی، کوکی‌های نشست، سندهای بارگیری‌شده و حقوق مدیریت روی نقطه پایانی‌اند، و پیوستن به شبکه دیگر آنها را به خودی خود آشکار نمی‌کند. آنچه تغییر می‌کند مجموعه طرف‌هایی است که می‌توانند هنگام نگه‌داشتن آن اعتبارنامه‌ها بر نقطه پایانی اثر بگذارند، و این پرسشی درباره اعتمادپذیری شبکه شخصی است نه درباره مسیریابی. این داوری‌ای است که مالک نقطه پایانی به‌تنهایی نمی‌تواند انجام دهد، و نبود قاعده ارسال بسته پاسخی برای آن نیست.

ارسال بسته در شبکه سومین مورد است و تنها موردی که می‌تواند لپ‌تاپ را به دستگاه گذر تبدیل کند. ارسال بسته IP، اشتراک‌گذاری اتصال اینترنت، یک پروکسی یا ویژگی پل‌سازی هر یک می‌توانند این کار را بکنند، و هر کدام پیکربندی‌ای است که یا فعال است یا نه. آن وضعیت را مستقیم بررسی کنید، نه اینکه آن را از حضور کارخواه VPN استنتاج کنید. روی ماشین مدیریت‌شده پاسخ معمولاً نه است، و بازبینی آن یک فرض را به واقعیتی تبدیل می‌کند که ارزش ثبت دارد.

یک منبع بخواهید، نه دو شبکه

بیشتر نیازهای واقعی باریک‌تر از آن‌اند که در آغاز به نظر می‌رسند: یک کنسول، یک اشتراک فایل، یک برنامه وب داخلی. نیاز را این‌گونه بیان کنید و بگذارید مالک منبع تصمیم بگیرد که آیا اصلاً به این نقطه پایانی تعلق دارد. درخواستی که به‌شکل پیوستن دو شبکه نوشته شود سخت تأیید و آسان رد می‌شود؛ درخواست برای یک خدمت نام‌برده پاسخ دارد.

اگر پاسخ بله است، باریک‌ترین مسیر پشتیبانی‌شده را ترجیح دهید و آن را درون کنترل‌های موجود سازمان نگه دارید. نمایه دوم مدیریت‌شده یا یک ورودی برنامه با دامنه محدود پایش و سیاست را حفظ می‌کند؛ پیکربندی شخصی رقیب آنها را بی‌صدا جایگزین می‌کند و هیچ‌کس نمی‌داند پس از به‌روزرسانی بعدی کدام پیروز می‌شود.

اثرهای DNS و مسیر را بگنجانید

تحلیل نام در همان لحظه‌ای تغییر می‌کند که نمایه دومی فعال می‌شود. کارخواه شخصی ممکن است تحلیلگر خود را تحمیل کند، مرورگر ممکن است DNS رمزگذاری‌شده خود را به کار ببرد، و جدول سیاست ممکن است نام‌های داخلی را به کارساز دیگری جز آنچه پیکربندی شرکتی انتظار دارد بفرستد. هیچ‌یک از اینها به ارسال بسته نیاز ندارد، و هر یک می‌تواند یک نام میزبان داخلی را به جای اشتباه بفرستد.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

آن سه خروجی را پیش و پس از اتصال نمایه دوم ثبت کنید. تفاوت میان آنها همان اثری است که واقعاً به کاربر می‌رسد، و اغلب بزرگ‌تر از تغییر مسیریابی توصیف‌شده در تیکت است. هر دو ثبت را نگه دارید تا بازبین بعدی ببیند چه تغییر کرد، نه چه قصد شده بود.

بازبینی کنید و راه خروج نگه دارید

برنامه تأییدشده را از فرایند و بافت کاربر واقعی بیازمایید، نه از پوسته مدیر روی همان ماشین. سپس تأیید کنید که مقصدهای نامرتبط در جایی که طراحی می‌خواهد دست‌نیافتنی می‌مانند: مرزی که کسی نیازموده مرزی است که هیچ‌کس نمی‌تواند به آن استناد کند. قطع تونل شخصی باید وضعیت پیشین را بازگرداند، و آن بازگردانی ارزش بررسی دارد تا زمانی که کسی هنوز نگاه می‌کند.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

راهنمای NIST درباره معماری اعتماد صفر اینجا سودمند است چون مکان شبکه را به‌عنوان منبع خودکار اعتماد حذف می‌کند، و این دقیقاً همان فرضی است که موضوع بحث است. پرسش این نیست که آیا شبکه خانه به طبیعت قابل اعتماد است؛ پرسش این است که چه کسی به کدام منبع، از کدام نقطه پایانی و از کدام نقطه اجرا دسترسی دارد. به این سه پاسخ دهید و شواهد را همراه تصمیم نگه دارید.