ग्राहक की VPN पहुँच: विशेषाधिकार वाले काम को उसका अपना उपकरण दें

कनेक्शन प्रोफ़ाइल कहती है Production, टनल ऊपर आती है, और डेस्कटॉप की हर विंडो अब ग्राहक के सिस्टम तक पहुँच सकती है। उस क्रम में किसी चीज़ ने विशेषाधिकार वाले सत्र को उसके बगल के ब्राउज़र टैब से अलग नहीं किया। VPN प्रोफ़ाइल एक नाम और रूटों का समूह है; जिस सीमा की आपको सचमुच चिंता है वह उपकरण की पहचान, नियंत्रित निष्पादन वातावरण और क्रेडेंशियल के मार्ग से बनती है। ये तीनों अलग-अलग जगहों पर लागू होते हैं, इसलिए एक जोड़ना और बाकी छोड़ देना ऐसा डिज़ाइन बनाता है जो अनुरूप दिखता है और है नहीं।

प्रोफ़ाइल का नाम सीमा नहीं है

टनल ऊपर आने पर क्लाइंट रूट और DNS कॉन्फ़िगरेशन लागू करता है, और उसके बाद उस मशीन पर जो कुछ चलता है वह दोनों विरासत में पाता है।

ड्रॉपडाउन में मौजूद नाम यह बदलता है कि ऑपरेटर क्या पहचानता है, यह नहीं कि ऑपरेटिंग सिस्टम क्या अनुमति देता है।

उपकरण की पहचान वही है जिसे गेटवे जाँच सकता है

जो गेटवे उपकरण प्रमाणपत्र या स्थिति-जाँच का समर्थन करता है वह मशीन के साथ-साथ व्यक्ति को भी प्रमाणित करता है। यही वह परत है जो किसी के पासवर्ड लिखने से पहले अनियंत्रित लैपटॉप से आने वाले कनेक्शन को अस्वीकार कर सकती है। उपकरण खो जाने पर रद्द करने के लिए यह कुछ ठोस भी देती है। एक प्रमाणपत्र को तीन मशीनों पर कॉपी करना ठीक उसी गुण को हटा देता है, इसलिए प्रमाणपत्र का जीवनचक्र समझौते में होना चाहिए, किसी साझा फ़ोल्डर में नहीं।

ग्राहक तय करता है कि उसकी नीति को इनमें से कौन-से नियंत्रण चाहिए, और आपूर्तिकर्ता द्वारा बनाई गई वर्चुअल मशीन स्थिति-जाँच को बिल्कुल पूरा न करे।

वर्चुअल मशीन की सीमा कहाँ चूती है

वर्चुअल मशीन ग्राहक के औज़ारों और नेटवर्क की स्थिति को एक साथ रखती है, और यह सचमुच उपयोगी है। लेकिन यह अपने होस्ट और हाइपरवाइज़र पर भी निर्भर है, और कुछ सुविधाएँ सीमा पार कर जाती हैं: साझा फ़ोल्डर, क्लिपबोर्ड एकीकरण, क्रेडेंशियल एजेंट और होस्ट-स्तरीय प्रबंधन पहुँच। रोज़मर्रा के होस्ट पर विशेषाधिकार वाला अतिथि स्वतंत्र रूप से भरोसेमंद नहीं है, क्योंकि होस्ट देख सकता है कि अतिथि क्या कर रहा है। वर्चुअल मशीन को जोखिम घटाने वाला नियंत्रण मानें, अलग सुरक्षा क्षेत्र नहीं।

समर्पित भौतिक उपकरण होस्ट पर निर्भरता हटाता है और उसकी जगह रखरखाव का दायित्व जोड़ता है।

क्रेडेंशियल और स्थानांतरण मार्ग

हर इंजीनियर और हर ग्राहक के लिए अलग, रद्द करने योग्य पहचान इस्तेमाल करें और उन्हें निजी ब्राउज़र प्रोफ़ाइल और चैट इतिहास से बाहर रखें। पूरी टीम द्वारा साझा क्रेडेंशियल को साफ़ तौर पर किसी को जोड़ा, घुमाया या रद्द नहीं किया जा सकता। औज़ारों, फ़ाइलों और नैदानिक आउटपुट के लिए स्थानांतरण मार्ग पहले सत्र से पहले तय करें, क्योंकि अवसरवादी फ़ाइल अदलाबदली ही वह तरीका है जिससे कोई सीमा चुपचाप सीमा रहना बंद कर देती है। अगर एक ही समय पर दो ग्राहकों तक पहुँचना हो, तो पहले नेटवर्क और पहचान के अलगाव को स्वीकृति दिलाएँ।

कभी भी दो ग्राहक नेटवर्क को एक वर्कस्टेशन से न जोड़ें, सिर्फ़ इसलिए कि उस दोपहर वह सुविधाजनक था।

जो समझौता इसे दोहराने योग्य बनाता है

हर ग्राहक के लिए छोटा रिकॉर्ड लिखें और उसे वहाँ रखें जहाँ दोनों पक्ष उसे पा सकें। उसमें स्वीकृत उपकरण या दूरस्थ वातावरण और उसका रखरखाव कौन करता है, अनुमत पहचान, वे सिस्टम और कार्य जहाँ वे पहुँच सकती हैं, स्थानांतरण मार्ग, और सत्र समाप्त होने का सामान्य तरीका लिखा होना चाहिए।

पाँच पंक्तियाँ जिन्हें कोई व्यक्ति आने या जाने पर देखता है, ऐसी नीति से बेहतर हैं जिसे कोई लागू ही न कर सके:

• स्वीकृत उपकरण या दूरस्थ वातावरण, नामित रखरखाव स्वामी के साथ।
• सहायता के लिए अनुमत व्यक्तिगत उपयोगकर्ता और उपकरण पहचान।
• वे सिस्टम और कार्य जहाँ ये पहचान पहुँच सकती हैं।
• औज़ारों, फ़ाइलों और नैदानिक आउटपुट के लिए अनुमत मार्ग।
• सत्र समाप्त करने की प्रक्रिया और एक अधिकृत आपातकालीन विकल्प।

क्रेडेंशियल हिलाए बिना आपातकालीन पहुँच

जब कोई नियंत्रण किसी ज़रूरी मरम्मत को रोकता है, तो रास्ता अपवाद प्रक्रिया है, वही क्रेडेंशियल लिए दूसरा लैपटॉप नहीं। स्वीकृत अपवाद दर्ज करता है कि किसने अधिकृत किया, क्या ढीला किया गया और कब ख़त्म होगा। क्रेडेंशियल को रोज़मर्रा की मशीन पर ले जाना सबसे बुरे संभव क्षण पर सीमा बदल देता है, और आम तौर पर बाद में भी बदला ही रहता है। आपातकालीन मार्ग एक पूर्वाभ्यास का हक़दार है जब कुछ भी टूटा न हो।

फिर सत्र को उसी तरह समाप्त करें जैसा समझौता कहता है, और पुष्टि करें कि पहुँच सचमुच रुक गई।