Ordinateur de travail sur un VPN personnel : ce qui traverse vraiment

Brancher un ordinateur d'entreprise sur un VPN domestique le place à deux endroits à la fois, et la question intéressante est plus petite et plus utile que l'alarmante. Personne n'a tiré de câble Ethernet entre le bureau et la maison, et aucune route ne fait du réseau domestique une extension du sous-réseau d'entreprise. Ce qui existe, c'est un seul point de terminaison ayant accès aux deux environnements, et trois mécanismes distincts décident de ce qui peut réellement circuler entre eux. Parcourir ces trois, du point de terminaison vers l'extérieur, produit une réponse sur laquelle un administrateur peut agir plutôt qu'un débat sur des étiquettes.

Commencez par le point de terminaison, pas par le schéma réseau

Le point de terminaison est là où les deux connexions se rencontrent, donc c'est là que la revue commence : quels processus s'exécutent, ce qu'ils peuvent atteindre et qui les contrôle. Un schéma montrant deux nuages reliés à un ordinateur portable est exact et inutile, car il implique un lien qui n'existe peut-être pas. Remplacez-le par une liste des applications capables de parler à chaque environnement, et notez sous quel compte chacune s'exécute. Ce cadrage garde aussi la revue proportionnée, car un ordinateur portable à deux tunnels n'est pas le même objet que deux réseaux réunis.

Cette liste est l'inventaire à partir duquel travaille le reste de la revue. Si elle contient un client de synchronisation, un profil de navigateur connecté aux deux environnements et un agent de compilation avec des identifiants, la revue a déjà ses sujets.

Trois points de traversée, examinés séparément

L'accès des applications est le premier point de traversée, et il n'exige aucun transfert. Un onglet de navigateur, un client de synchronisation ou un agent de compilation sur le point de terminaison peut lire depuis une ressource d'un environnement et envoyer des données vers une ressource de l'autre. Cette capacité existe que le système d'exploitation transfère ou non des paquets entre les interfaces, et c'est le mécanisme que les gens manquent lorsqu'ils concluent que sans pont il n'y a pas de risque. Lire la liste des applications est donc plus instructif que lire la liste des interfaces.

L'identité et les données forment le deuxième point de traversée. Les identifiants d'entreprise, les cookies de session, les documents téléchargés et les droits d'administration vivent sur le point de terminaison, et rejoindre un autre réseau ne les divulgue pas à lui seul. Ce qui change, c'est l'ensemble des parties qui pourraient influencer le point de terminaison tant qu'il détient ces identifiants, et c'est une question sur la fiabilité du réseau personnel plutôt que sur le routage. C'est un jugement que le propriétaire du point de terminaison ne peut pas porter seul, et il n'est pas résolu par l'absence d'une règle de transfert.

Le transfert réseau est le troisième, et le seul qui puisse transformer l'ordinateur portable en dispositif de transit. Le transfert IP, le partage de connexion Internet, un proxy ou une fonction de pont peuvent chacun le faire, et chacun est une configuration qui est soit activée, soit non. Inspectez cet état directement au lieu de l'inférer de la présence d'un client VPN. Sur une machine gérée, la réponse est généralement non, et le vérifier transforme une hypothèse en fait qui mérite d'être consigné.

Demandez une ressource, pas deux réseaux

La plupart des besoins réels sont plus étroits qu'ils n'y paraissent d'abord : une console, un partage de fichiers, une application web interne. Formulez le besoin ainsi et laissez le propriétaire de la ressource décider si elle relève de ce point de terminaison. Une demande formulée comme la jonction de deux réseaux est difficile à approuver et facile à refuser ; une demande pour un service nommé a une réponse.

Si la réponse est oui, préférez le chemin pris en charge le plus étroit et maintenez-le dans les contrôles existants de l'organisation. Un second profil géré ou une entrée d'application à portée limitée préserve la supervision et la politique ; une configuration personnelle concurrente les remplace en silence, et personne ne sait laquelle gagne après la prochaine mise à jour.

Incluez les effets DNS et de routes

La résolution de noms change à l'instant où un second profil est actif. Un client personnel peut imposer son propre résolveur, un navigateur peut utiliser son propre DNS chiffré, et une table de politique peut router des noms internes vers un serveur différent de celui qu'attend la configuration d'entreprise. Aucun de ces cas n'exige de transfert, et chacun peut envoyer un nom d'hôte interne au mauvais endroit.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Capturez ces trois sorties avant et après la connexion du second profil. La différence entre elles est l'effet qui atteint réellement l'utilisateur, et elle est souvent plus grande que le changement de routage décrit par le ticket. Conservez les deux captures afin qu'un relecteur ultérieur voie ce qui a changé et non ce qui était prévu.

Vérifiez et gardez une sortie

Testez l'application approuvée depuis le processus et le contexte utilisateur réels, non depuis un shell d'administrateur sur la même machine. Confirmez ensuite que les destinations non liées restent inaccessibles là où la conception l'exige : une frontière que personne n'a testée est une frontière que personne ne peut revendiquer. Déconnecter le tunnel personnel devrait rétablir l'état précédent, et ce rétablissement mérite d'être vérifié pendant que quelqu'un regarde encore.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Les recommandations du NIST sur l'architecture de confiance nulle sont utiles ici parce qu'elles suppriment la localisation réseau comme source automatique de confiance, ce qui est exactement l'hypothèse en cause. La question n'est pas de savoir si le réseau domestique est fiable par nature ; elle est de savoir qui peut atteindre quelle ressource, depuis quel point de terminaison et via quel point d'application. Répondez à ces trois questions, et conservez les preuves avec la décision.