Pienen toimiston VPN: pidä se poissa toimialueen ohjaimesta

Kolme ehtoa ratkaisee, pitäisikö toimiston ainoan Windows-palvelimen myös päättää VPN: kuinka paljon internetiin päin olevaa ohjelmistoa olet valmis ajamaan hakemistossa, voitko todentaa etäkäyttäjiä ilman tätä roolia, ja mitä hallintakäyttöoikeudellesi tapahtuu, kun isäntä käynnistyy uudelleen. Jos yhdelläkin kolmesta on huono vastaus, erota roolit. Se, että toimisto on pieni, muuttaa budjettia, ei riskiä.

Toimialueen ohjaimeen luottaa jokainen toimialueen kone; VPN-yhdyskäytävään pääsee kuka tahansa internetissä. Tämä epäsymmetria on koko perustelu.

Kaksi työtä ja kaksi erilaista altistusprofiilia

Yhdyskäytävä ottaa vastaan yhteyksiä ulkoa, joten sen kuuntelija, TLS-pino ja todennuspinta ovat kaikki saavutettavissa epäluotetuista verkoista. Hakemistolla on valtuus, johon muut koneet luottavat, siksi Microsoftin koventamisohjeet kohtelevat toimialueen ohjaimen roolia ja sen isännöintiympäristöä erityisen herkkinä. Jokainen tälle isännälle lisätty palvelu perii hakemiston luottamusaseman ja lisää oman hyökkäyspintansa. Asennuksen mukavuus ei ole luottamusraja.

Roolien erottaminen ei poista riippuvuuksia. Etäkäyttäjät tarvitsevat edelleen todennuksen, reitit, DNS:n ja käyttösäännöt, eikä yhdyskäytävä, joka ohittaa ne, ole turvallisempi, vain vähemmän hyödyllinen.

Todennus ilman hakemistoroolia

Yhdyskäytävä voi validoida tunnistetiedot tuetun ulkoisen integraation kautta isännöimättä itse hakemistoa. Olipa integraatio mikä tahansa, anna sille tili, jonka oikeudet vastaavat tarkoitusta: lue todennukseen tarvittavat attribuutit, ei muuta. VPN-käyttäjien hyväksyminen ei koskaan vaadi heidän tavallisista tileistään toimialueen ylläpitäjiä eikä koskaan vaadi, että yhdyskäytävä pitää kopiota hakemistosta.

Rajaa sitten verkkopolut, joita etäasiakas todella tarvitsee. Pääsy yhteen sisäiseen tiedostopalveluun sekä ne nimenselvitys- ja identiteettipalvelut, joista työnkulku riippuu, on määritetty polkujen joukko. Se ei ole syy sallia jokaista toimialueen ohjaimen porttia tai jokaista hallintaliittymää VPN-altaasta.

Yksi isäntä on edelleen yksi vikatoimialue

Kaksi vierasta yhdellä hypervisorilla erottaa käyttöjärjestelmänsä kokoonpanon eikä erota kohtaloaan. Hypervisorin ylläpitäjät, virtuaalikytkentä, tallennus ja varmuuskopiot pysyvät osana suunnittelua, ja isännän uudelleenkäynnistys poistaa molemmat palvelut kerralla. Sen kutsuminen korkeaksi käytettävyydeksi siksi, että kaaviossa on kaksi VM:ää, on yleinen ja kallis virhe. Jos ainoa paluureitti kulkee kyseisen isännän VPN:n kautta, vika vie yhteyden, jota sen korjaamiseen tarvitaan.

Suunnittele siis itsenäinen hallintareitti, joka ei riipu tunnelista, ja kirjoita ylös, mikä pysyy saatavilla huollon aikana. Ajoita yhdyskäytävän päivitykset ja hakemiston huolto erikseen ja merkitse, keitä käyttäjiä tai sovelluksia kukin katkos koskee.

Huoltoikkuna, joka vaatii VPN:n olevan päällä VPN:n korjaamiseksi, ei ole huoltoikkuna.

Siirrä se lukitsematta itseäsi ulos

Jos roolit jo jakavat yhden asennuksen, vältä kiireistä etämigraatiota. Inventoi, mitä yhdyskäytävä omistaa tänään: osoitteet, edelleenohjaussäännöt, NAT, DNS-asetukset, todennuskonfiguraatio ja kaikki julkaistut palvelut. Valmistele sekä korvaaja että paluureitti ennen kuuntelijan siirtämistä tai oletusreitin muuttamista. Testaa sitten tavallisen etäkäyttäjän todellinen työ uuden rajan läpi ja varmista, että tarpeeton hallintakäyttö edelleen epäonnistuu.

Tavoite ei ole kauniimpi kaavio. Se on kyky korjata tai rakentaa VPN uudelleen koskematta laatikkoon, joka ankkuroi hakemiston luottamuksen koko toimistolle. Ne ovat eri tavoitteita, ja vain yksi niistä tarvitsee toisen palvelimen.

Kirjaa päätös kumpaan suuntaan tahansa, mukaan lukien ehdot, jotka avaisivat sen uudelleen. Pieni toimisto kasvaa, eikä yhdelle palvelimelle sopinut vastaus välttämättä sovi seuraavalle.