Wurkaptop op in persoanlike VPN: wat der echt oergiet

In bedriuwsaptop oan in thús-VPN keppelje set him tagelyk op twa plakken, en de nijsgjirrige fraach is lytser en nuttiger as de alaarmearjende. Nimmen hat in Ethernet-kabel tusken it kantoar en it hûs lein, en gjin rûte makket it thúsnetwurk ta in útwreiding fan it bedriuws subnet. Wat bestiet is ien einpunt mei tagong ta beide omjouwings, en trije aparte meganismen beslute wat der echt tusken harren bewege kin. It trochrinnen fan dy trije, fan it einpunt nei bûten, jout in antwurd dêr't in behearder op hannelje kin ynstee fan in debat oer labels.

Begjin by it einpunt, net by it netwurkskema

It einpunt is it plak dêr't beide ferbiningen elkoar treffe, dus dêr begjint de resinsje: hokker prosessen rinne, wat se berikke kinne en wa't se bestjoert. In skema dat twa wolken sjen lit dy't oan in laptop keppele binne, is krekt en nutteleas, want it ymplisearret in ferbining dy't der miskien net is. Ferfang it troch in list fan de applikaasjes dy't mei elke omjouwing prate kinne, en notearje ûnder hokker akkount elk rint. Dat ramt hâldt de resinsje ek yn ferhâlding, want in laptop mei twa tunnels is net itselde objekt as twa ferbûne netwurken.

Dy list is de ynventaris dêr't de rest fan de resinsje fan út wurket. As it in syngronisaasjekliïnt, in browserprofyl oanmeld by beide omjouwings en in boute-agent mei bewizen befettet, hat de resinsje al syn ûnderwerpen.

Trije oergongspunten, apart besjoen

Tagong ta applikaasjes is it earste oergongspunt, en it fereasket gjin trochjaan. In browserljepper, in syngronisaasjekliïnt of in boute-agent op it einpunt kin lêze fan in boarne yn 'e iene omjouwing en gegevens ynstjoere nei in boarne yn 'e oare. Dy mooglikheid bestiet oft it bestjoeringssysteem no pakketten tusken ynterfaces trochjaan of net, en dat is it meganisme dat minsken misse as se konkludearje dat gjin brêge gjin risiko betsjut. Dêrom is it lêzen fan 'e applist mear ynformatyf as it lêzen fan 'e ynterfacelist.

Identiteit en gegevens foarmje it twadde oergongspunt. Bedriuwsbewizen, sesjekoekjes, delhelle dokuminten en behearrjochten libje op it einpunt, en it oansluten op in oar netwurk makket se net fansels iepenbier. Wat feroaret is de set fan partijen dy't it einpunt beynfloedzje kinne wylst it dy bewizen hâldt, en dat is in fraach oer de betrouberens fan it persoanlike netwurk, net oer rûtebepaling. Dat is in oardiel dat de eigner fan it einpunt net allinnich nimme kin, en it wurdt net beantwurde troch it ûntbrekken fan in trochjaanregel.

Netwurktrochjaan is de tredde en de iennige dy't de laptop ta in trochgongsapparaat meitsje kin. IP-trochjaan, dielen fan 'e ynternetferbining, in proxy of in brêgefunksje kinne elk dat dwaan, en elk is in konfiguraasje dy't of oan of út is. Undersykje dy steat direkt ynstee fan him ôf te lieden út 'e oanwêzigens fan in VPN-kliïnt. Op in beheard masine is it antwurd meastentiids nee, en it ferifiearjen makket fan in oanname in feit dat it fêstlizzen wurdich is.

Freegje om ien boarne, net om twa netwurken

De measte echte easken binne smeller as se earst lykje: ien konsole, ien triemdiele, ien ynterne webapplikaasje. Formulearje de eask sa en lit de eigner fan 'e boarne beslute oft it wol by dit einpunt heart. In fersyk dat as it ferbinen fan twa netwurken formulearre is, is dreech goed te kinnen en maklik ôf te wizen; in fersyk foar ien neamd tsjinst hat in antwurd.

As it antwurd ja is, foarkar dan it smelste stipe paad en hâld it binnen de besteande kontrôles fan 'e organisaasje. In beheard twadde profyl of in beheind applikaasje-ynfier behâldt tafersjoch en belied; in konkurrearjende persoanlike konfiguraasje ferfangt se stil, en nimmen wit hokker nei de folgjende bywurking wint.

Nim DNS- en rûte-effekten mei

Nammeoplossing feroaret op it stuit dat in twadde profyl aktyf is. In persoanlike kliïnt kin syn eigen resolver trochdrukke, in browser kin syn eigen fersifere DNS brûke, en in beliedstabel kin ynterne nammen nei in oare tsjinner stjoere as dy't de bedriuwsynstelling ferwachtet. Gjin fan dy fereasket trochjaan, en elk fan harren kin in ynterne hostnamme op it ferkearde plak krije.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Fêstlizze dy trije útgongen foar en nei't it twadde profyl ferbynt. It ferskil dertusken is it effekt dat de brûker echt berikt, en it is faak grutter as de rûteferoaring dy't it ticket beskriuwt. Hâld beide fêstlizzingen, sadat in lettere resinsint sjen kin wat feroare is, net wat bedoeld wie.

Ferifiearje en hâld in útgong

Test de goedkrige applikaasje út it echte proses en brûkerskontekst, net út in beheardershell op deselde masine. Befêstigje dan dat net-relatearre bestimmingen ûnberikber bliuwe wêr't it ûntwerp dat easket: in grins dy't nimmen test hat, is in grins dêr't nimmen him op berope kin. It loskeppeljen fan 'e persoanlike tunnel soe de eardere steat werombringe moatte, en dy werombringing is it kontrolearjen wurdich wylst der noch immen sjocht.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

De NIST-riglynen oer nulfertrouwen-arsjitektuer binne hjir nuttich, want se helje netwurklokaasje as automatyske boarne fan fertrouwen fuort, en dat is krekt de oanname dy't yn diskusje is. De fraach is net oft it thúsnetwurk fan natuere betrouber is; it is wa't hokker boarne berikke kin, fan hokker einpunt, troch hokker hanthavenspunt. Beäntwurdzje dy trije, en hâld it bewiis by it beslút.