Työkannettava henkilökohtaisessa VPN:ssä: mikä oikeasti ylittää rajan

Yrityskannettavan liittäminen koti-VPN:ään asettaa sen kahteen paikkaan yhtä aikaa, ja kiinnostava kysymys on pienempi ja hyödyllisempi kuin se hälyttävä. Kukaan ei vetänyt Ethernet-kaapelia toimiston ja kodin välille, eikä mikään reitti tee kotiverkosta yrityksen aliverkon jatketta. Olemassa on yksi päätepiste, jolla on pääsy molempiin ympäristöihin, ja kolme erillistä mekanismia päättävät, mitä niiden välillä voi todella liikkua. Näiden kolmen kulkeminen päätepisteestä ulospäin antaa vastauksen, jonka pohjalta ylläpitäjä voi toimia, eikä väittelyä nimikkeistä.

Aloita päätepisteestä, älä verkkokaaviosta

Päätepiste on paikka, jossa molemmat yhteydet kohtaavat, joten siitä katsaus alkaa: mitkä prosessit käyvät, mitä ne voivat tavoittaa ja kuka niitä hallitsee. Kaavio, joka näyttää kaksi kannettavaan yhdistettyä pilveä, on täsmällinen ja hyödytön, koska se vihjaa yhteydestä, jota ei ehkä ole. Korvaa se luettelolla sovelluksista, jotka voivat puhua kummankin ympäristön kanssa, ja merkitse, minkä tilin alla kukin toimii. Tämä kehys pitää katsauksen myös oikeasuhtaisena, sillä kahden tunnelin kannettava ei ole sama objekti kuin kaksi yhdistettyä verkkoa.

Tuo luettelo on se inventaario, josta muu katsaus työskentelee. Jos siinä on synkronointiasiakasohjelma, molempiin ympäristöihin kirjautunut selainprofiili ja valtuustiedot omaava koontipalvelin, katsauksella on jo kohteensa.

Kolme ylityskohtaa, erikseen tarkasteltuina

Sovellusten pääsy on ensimmäinen ylityskohta, eikä se vaadi mitään edelleenohjausta. Selaimen välilehti, synkronointiasiakasohjelma tai koontipalvelin päätepisteessä voi lukea yhden ympäristön resurssista ja lähettää tietoa toisen ympäristön resurssille. Tämä kyky on olemassa riippumatta siitä, välittääkö käyttöjärjestelmä paketteja liitäntöjen välillä vai ei, ja juuri tämän mekanismin ihmiset ohittavat päätellessään, ettei siltaa tarkoita, ettei riskiä ole. Siksi sovellusluettelon lukeminen antaa enemmän kuin liitäntäluettelon lukeminen.

Identiteetti ja data muodostavat toisen ylityskohdan. Yrityksen valtuustiedot, istuntoevästeet, ladatut asiakirjat ja hallintaoikeudet ovat päätepisteessä, eikä toiseen verkkoon liittyminen paljasta niitä itsestään. Se mikä muuttuu, on niiden osapuolten joukko, jotka voisivat vaikuttaa päätepisteeseen sen pitäessä noita valtuustietoja, ja se on kysymys henkilökohtaisen verkon luotettavuudesta, ei reitityksestä. Se on arvio, jota päätepisteen omistaja ei voi tehdä yksin, eikä siihen vastaa edelleenohjaussäännön puuttuminen.

Verkon edelleenohjaus on kolmas ja ainoa, joka voi tehdä kannettavasta välityslaitteen. IP-edelleenohjaus, internet-yhteyden jakaminen, välityspalvelin tai sillan toiminto voivat kukin tehdä sen, ja kukin on asetus, joka joko on päällä tai ei. Tarkasta se tila suoraan sen sijaan, että päättelet sen VPN-asiakasohjelman olemassaolosta. Hallinnoidulla koneella vastaus on yleensä ei, ja sen vahvistaminen muuttaa oletuksen kirjaamisen arvoiseksi tosiasiaksi.

Pyydä yhtä resurssia, älä kahta verkkoa

Useimmat todelliset vaatimukset ovat kapeampia kuin ensin näyttää: yksi konsoli, yksi tiedostojako, yksi sisäinen verkkosovellus. Muotoile vaatimus näin ja anna resurssin omistajan päättää, kuuluuko se ylipäätään tähän päätepisteeseen. Kahden verkon liittymisenä muotoiltu pyyntö on vaikea hyväksyä ja helppo hylätä; yhden nimetyn palvelun pyynnöllä on vastaus.

Jos vastaus on kyllä, suosi kapeinta tuettua polkua ja pidä se organisaation nykyisten valvontakeinojen sisällä. Hallinnoitu toinen profiili tai rajattu sovellusmerkintä säilyttää seurannan ja käytännön; kilpaileva henkilökohtainen asetus korvaa ne hiljaisesti, eikä kukaan tiedä, kumpi voittaa seuraavan päivityksen jälkeen.

Sisällytä DNS- ja reittivaikutukset

Nimien selvitys muuttuu heti, kun toinen profiili on aktiivinen. Henkilökohtainen asiakasohjelma voi pakottaa oman selvittäjänsä, selain voi käyttää omaa salattua DNS:ää, ja käytäntötaulukko voi ohjata sisäiset nimet eri palvelimelle kuin yrityksen asetus odottaa. Mikään näistä ei vaadi edelleenohjausta, ja mikä tahansa niistä voi lähettää sisäisen isäntänimen väärään paikkaan.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Tallenna nuo kolme tulostetta ennen toisen profiilin yhdistämistä ja sen jälkeen. Niiden välinen ero on vaikutus, joka todella saavuttaa käyttäjän, ja se on usein suurempi kuin tiketissä kuvattu reittimuutos. Säilytä molemmat tallenteet, jotta myöhempi tarkastaja näkee, mikä muuttui, eikä sitä, mikä oli tarkoitus.

Vahvista ja pidä poispääsy

Testaa hyväksytty sovellus todellisesta prosessista ja käyttäjäkontekstista, ei saman koneen ylläpitäjän kuoresta. Vahvista sitten, että liittymättömät kohteet pysyvät tavoittamattomina siellä, missä suunnittelu sitä vaatii: raja, jota kukaan ei testannut, on raja, johon kukaan ei voi vedota. Henkilökohtaisen tunnelin irrottamisen pitäisi palauttaa aiempi tila, ja tuo palautus kannattaa tarkistaa, kun joku vielä katsoo.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST:n ohjeistus nollaluottamuksen arkkitehtuurista on hyödyllinen tässä, koska se poistaa verkkosijainnin automaattisena luottamuksen lähteenä, ja juuri se on kyseessä oleva oletus. Kysymys ei ole siitä, onko kotiverkko luonteeltaan luotettava; vaan siitä, kuka pääsee mihin resurssiin, mistä päätepisteestä ja minkä valvontapisteen kautta. Vastaa noihin kolmeen ja säilytä todisteet päätöksen kanssa.