VPN de traballo en Arabia Saudita: tres preguntas antes de pedir acceso

Un segundo inicio de sesión denegado ou unha aplicación interna bloqueada raramente apuntan a un túnel roto. As VPN de traballo impoñen tres cousas separadas: a que pode chegar a conta, cantas sesións pode manter e que servizos internos están publicados para os usuarios remotos. Faga esas tres preguntas por orde, porque cada unha ten un propietario distinto. Un marco publicado como a guía de implantación do teletraballo da NCA é un marco útil para a conversa, non un veredicto sobre a posición legal de ninguén.

Primeira: a que pode chegar esta conta?

Os dereitos de acceso defínense pola sensibilidade do sistema, o nivel de acceso e o tipo de dispositivo permitido, e son decisións organizativas, non propiedades do túnel. Ter o contrasinal só responde se se pode establecer a conexión. Non di se a conta pode abrir un documento, administrar un servidor ou cambiar un controlador. Pida o recurso e a operación previstos, non o acceso á rede no seu conxunto.

Unha solicitude formulada como destino é máis doada de aprobar que unha formulada como sensación. Por iso a primeira pregunta trata do recurso, non da rede.

NCA 2-2-1-1 vincula os dereitos de acceso exactamente a esas tres dimensións, por iso a resposta ten que nomear un sistema e unha operación. A mesma lóxica aparece nas directrices de confianza cero: a localización na rede non é autorización. Un usuario da VPN corporativa e un usuario dunha conexión doméstica poden ambos autenticarse, e a aplicación segue decidindo que pode facer cada un.

Segunda: cantas sesións poden executarse á vez?

O acceso remoto concorrente é un control aparte, e NCA 2-2-1-2 cóbreo xunto cunha vía de aprobación para excepcións. As organizacións adoitan limitalo, ás veces a unha sesión activa por conta. O límite é un número de política fixado polo operador, non unha constante do protocolo, así que ninguén fóra da organización pode dicirlle o valor. Unha sesión obsoleta que ninguén pode pechar é un problema operativo que merece informarse por si só.

Se se denega un segundo portátil, a primeira sesión é a explicación habitual. Pregunte como identifica o operador as sesións e como se pechan as obsoletas; algúns sistemas fan caducar unha sesión inactiva, outros mantéñena ata que se termina explicitamente. Non reinstale o cliente, non cambie o perfil nin cambie as saídas antes de que chegue esa resposta.

Terceira: que servizos internos están publicados?

O acceso remoto normalmente publica un conxunto definido de servizos, protocolos e portos, e NCA 2-4-1-1 mantén ese conxunto no que o traballo remoto necesita realmente. A lista é menor que a rede privada, e é deliberado. Pregunte que servizo e que porto necesita en lugar de pedir unha accesibilidade ampla, porque unha solicitude ampla é máis difícil de xustificar e moito máis difícil de revisar despois.

A solicitude de asistencia debe levar o rol da conta, o dispositivo aprobado, o servizo obxectivo, a hora do fallo e o texto do erro que non sexa secreto. Envíea pola canle da organización e non a quen responda primeiro nun grupo de chat. Iso abonda para que o propietario comprobe a política e os rexistros. Os contrasinais, os códigos de recuperación e as claves privadas non teñen cabida nela.

Que facer cando a resposta é non

Unha denegación adoita ser un desaxuste de alcance, non un veredicto de seguridade. Pode que o servizo estea publicado só para enderezos de oficina, ou que lle falte a operación ao rol aínda que o túnel funcione. Pregunte cal das tres preguntas fallou, e a solución adoita facerse obvia. Se cómpre unha excepción, pida ao propietario que a rexistre en lugar de sortearla.

Non tome prestada a sesión dun compañeiro, non desactive unha comprobación do cliente nin encamiñe o tráfico por unha saída non aprobada para que pase unha proba. Cada unha desas cousas substitúe unha denegación auditable por un éxito que ninguén pode auditar, e a próxima revisión atopará a diferenza. A excepción aprobada é máis lenta e sobrevive a unha auditoría.

As preguntas que levar ao propietario

Anóteas antes da chamada: para que recursos e operacións está aprobada esta conta, cal é a política de sesións concorrentes e como se limpan as sesións obsoletas, e que servizos e portos internos están publicados para os usuarios remotos. Pida ao propietario que confirme a aplicabilidade actual, porque as guías revísanse e a política interna pode ser máis estrita que a base publicada. Engada o requisito de dispositivo se a organización ten un.

Un marco de controis axúdalle a facer preguntas precisas. Non autoriza unha actividade e non substitúe a resposta do operador.

Leve as respostas ao mesmo propietario cando se propoña o seguinte cambio. Iso é o que converte unha aprobación puntual nunha política que alguén mantén.