VPN para unha oficina pequena: mantéñao fóra do controlador de dominio

Tres condicións deciden se o único servidor Windows da oficina tamén debe rematar a VPN: canto software exposto a internet está disposto executar no directorio, se pode autenticar usuarios remotos sen ese papel e que acontece co seu acceso de xestión cando o host se reinicia. Se algunha das tres ten unha mala resposta, separe os papeis. Que a oficina sexa pequena cambia o orzamento, non o risco.

Todas as máquinas do dominio confían nun controlador de dominio; calquera en internet pode alcanzar unha pasarela VPN. Esa asimetría é todo o argumento.

Dous traballos con dous perfís de exposición distintos

A pasarela acepta conexións do exterior, así que o seu escoitador, a súa pila TLS e a súa superficie de autenticación son accesibles desde redes non fiables. O directorio ten unha autoridade na que confían outras máquinas, por iso as directrices de endurecemento de Microsoft tratan o papel de controlador de dominio e o seu contorno de aloxamento como especialmente sensibles. Cada servizo engadido a ese host herda a posición de confianza do directorio e engade a súa propia superficie de ataque. A comodidade de instalación non é unha fronteira de confianza.

Separar os papeis non elimina as dependencias. Os usuarios remotos seguen necesitando autenticación, rutas, DNS e regras de acceso, e unha pasarela que as salta non é máis segura, só menos útil.

Autenticación sen o papel de directorio

Unha pasarela pode validar credenciais mediante unha integración externa compatible sen aloxar o directorio en si. Sexa cal sexa esa integración, déalle unha conta cuxos dereitos coincidan co propósito: ler os atributos necesarios para autenticar, nada máis. Admitir usuarios de VPN nunca esixe converter as súas contas ordinarias en administradores de dominio, nin esixe que a pasarela garde unha copia do directorio.

Despois, limite as rutas de rede que o cliente remoto realmente necesita. O acceso a un servizo de ficheiros interno, máis os servizos de resolución de nomes e identidade dos que depende ese fluxo de traballo, é un conxunto definido de rutas. Non é motivo para permitir todos os portos do controlador de dominio nin todas as interfaces administrativas desde o conxunto de VPN.

Un só host segue sendo un só dominio de fallo

Dous convidados nun só hipervisor separan a súa configuración de sistema operativo e non separan o seu destino. Os administradores do hipervisor, a conmutación virtual, o almacenamento e as copias de seguridade seguen formando parte do deseño, e un reinicio do host elimina ambos os servizos á vez. Chamar a iso alta dispoñibilidade porque o diagrama mostra dúas VM é un erro común e caro. Se a única ruta de volta pasa pola VPN nese host, un fallo leva a conexión necesaria para reparala.

Así que planifique unha vía de xestión independente que non dependa do túnel, e anote que queda dispoñible durante o mantemento. Programe as actualizacións da pasarela e o mantemento do directorio por separado, indicando que usuarios ou aplicacións toca cada interrupción.

Unha xanela de mantemento que esixe que a VPN estea activa para arranxar a VPN non é unha xanela de mantemento.

Móvao sen quedar bloqueado fóra

Se os papeis xa comparten unha instalación, evite unha migración remota apresurada. Faga un inventario do que a pasarela posúe hoxe: enderezos, regras de reenvío, NAT, axustes de DNS, configuración de autenticación e calquera servizo publicado. Prepare tanto a substitución como unha vía de volta antes de mover o escoitador ou alterar unha ruta predeterminada. Despois probe o traballo real dun usuario remoto ordinario a través da nova fronteira, e confirme que o acceso administrativo innecesario segue fallando.

O obxectivo non é un diagrama máis bonito. É a capacidade de reparar ou reconstruír a VPN sen tocar a caixa que ancora a confianza do directorio para toda a oficina. Son obxectivos distintos, e só un deles necesita un segundo servidor.

Rexistre a decisión en calquera caso, incluídas as condicións que a reabrirían. Unha oficina pequena medra, e a resposta que encaixaba cun servidor quizais non encaixe co seguinte.