निजी VPN पर कार्य लैपटॉप: वास्तव में क्या पार होता है

कंपनी के लैपटॉप को घरेलू VPN से जोड़ना उसे एक ही समय में दो जगहों पर रखता है, और दिलचस्प सवाल चिंताजनक सवाल से छोटा और अधिक उपयोगी है। किसी ने दफ़्तर और घर के बीच ईथरनेट केबल नहीं बिछाया, और कोई रूट घरेलू नेटवर्क को कॉर्पोरेट सबनेट का विस्तार नहीं बनाता। जो मौजूद है वह दोनों वातावरणों तक पहुँच वाला एक ही एंडपॉइंट है, और तीन अलग तंत्र तय करते हैं कि उनके बीच वास्तव में क्या जा सकता है। एंडपॉइंट से बाहर की ओर इन तीनों को चलकर देखने से ऐसा उत्तर मिलता है जिस पर प्रशासक कार्य कर सके, लेबल पर बहस के बजाय।

नेटवर्क डायग्राम से नहीं, एंडपॉइंट से शुरू करें

एंडपॉइंट वह जगह है जहाँ दोनों कनेक्शन मिलते हैं, इसलिए समीक्षा वहीं से शुरू होती है: कौन-कौन सी प्रक्रियाएँ चलती हैं, वे कहाँ तक पहुँच सकती हैं, और उन्हें कौन नियंत्रित करता है। लैपटॉप से जुड़े दो बादल दिखाने वाला डायग्राम सटीक और बेकार है, क्योंकि वह ऐसे लिंक का संकेत देता है जो न हो। उसकी जगह उन अनुप्रयोगों की सूची रखें जो हर वातावरण से बात कर सकते हैं, और लिखें कि हर एक किस खाते के अंतर्गत चलता है। यह ढाँचा समीक्षा को आनुपातिक भी रखता है, क्योंकि दो टनल वाला लैपटॉप जुड़े हुए दो नेटवर्क जैसी वही वस्तु नहीं है।

यह सूची वही सूची है जिससे बाकी समीक्षा काम करती है। अगर उसमें सिंक क्लाइंट, दोनों वातावरणों में साइन-इन ब्राउज़र प्रोफ़ाइल और क्रेडेंशियल वाला बिल्ड एजेंट है, तो समीक्षा के विषय पहले से मौजूद हैं।

तीन क्रॉसिंग बिंदु, अलग-अलग समीक्षित

अनुप्रयोग पहुँच पहला क्रॉसिंग बिंदु है, और इसे किसी फ़ॉरवर्डिंग की ज़रूरत नहीं। एंडपॉइंट पर ब्राउज़र टैब, सिंक क्लाइंट या बिल्ड एजेंट एक वातावरण के संसाधन से पढ़ सकता है और दूसरे वातावरण के संसाधन पर डेटा भेज सकता है। यह क्षमता इस बात पर निर्भर नहीं कि ऑपरेटिंग सिस्टम इंटरफ़ेस के बीच पैकेट फ़ॉरवर्ड करता है या नहीं, और यही वह तंत्र है जिसे लोग तब छोड़ देते हैं जब वे निष्कर्ष निकालते हैं कि पुल नहीं तो जोखिम नहीं। इसलिए इंटरफ़ेस की सूची पढ़ने से ज़्यादा जानकारी अनुप्रयोगों की सूची पढ़ने में है।

पहचान और डेटा दूसरा क्रॉसिंग बिंदु बनाते हैं। कॉर्पोरेट क्रेडेंशियल, सत्र कुकीज़, डाउनलोड किए गए दस्तावेज़ और प्रबंधन अधिकार एंडपॉइंट पर रहते हैं, और दूसरे नेटवर्क से जुड़ना उन्हें अपने आप प्रकट नहीं करता। जो बदलता है वह उन पक्षों का समूह है जो एंडपॉइंट को प्रभावित कर सकते हैं जब तक वह वे क्रेडेंशियल रखता है, और यह रूटिंग के बजाय निजी नेटवर्क की विश्वसनीयता का सवाल है। यह ऐसा निर्णय है जो एंडपॉइंट का मालिक अकेले नहीं ले सकता, और फ़ॉरवर्डिंग नियम का अभाव इसका उत्तर नहीं देता।

नेटवर्क फ़ॉरवर्डिंग तीसरा है, और अकेला ऐसा जो लैपटॉप को ट्रांज़िट उपकरण बना सकता है। IP फ़ॉरवर्डिंग, इंटरनेट कनेक्शन साझा करना, प्रॉक्सी या ब्रिजिंग सुविधा, हर एक यह कर सकती है, और हर एक ऐसा कॉन्फ़िगरेशन है जो या तो सक्षम है या नहीं। उस स्थिति को सीधे जाँचें, VPN क्लाइंट की मौजूदगी से अनुमान न लगाएँ। प्रबंधित मशीन पर उत्तर आमतौर पर नहीं होता, और उसे सत्यापित करना एक धारणा को ऐसे तथ्य में बदल देता है जिसे दर्ज करना उचित है।

एक संसाधन माँगें, दो नेटवर्क नहीं

अधिकतर वास्तविक आवश्यकताएँ शुरू में दिखने से संकरी होती हैं: एक कंसोल, एक फ़ाइल शेयर, एक आंतरिक वेब अनुप्रयोग। आवश्यकता उसी तरह कहें और संसाधन के मालिक को तय करने दें कि वह इस एंडपॉइंट पर है भी या नहीं। दो नेटवर्क जुड़ने के रूप में रखा गया अनुरोध स्वीकृत करना कठिन और अस्वीकार करना आसान है; एक नामित सेवा के अनुरोध का उत्तर होता है।

यदि उत्तर हाँ है, तो सबसे संकरा समर्थित मार्ग चुनें और उसे संगठन के मौजूदा नियंत्रणों के भीतर रखें। प्रबंधित दूसरी प्रोफ़ाइल या सीमित दायरे की अनुप्रयोग प्रविष्टि निगरानी और नीति बनाए रखती है; प्रतिस्पर्धी निजी कॉन्फ़िगरेशन उन्हें चुपचाप बदल देता है, और अगले अपडेट के बाद कौन जीतता है यह कोई नहीं जानता।

DNS और रूट प्रभावों को शामिल करें

दूसरी प्रोफ़ाइल सक्रिय होते ही नाम-समाधान बदल जाता है। निजी क्लाइंट अपना रिज़ॉल्वर थोप सकता है, ब्राउज़र अपना एन्क्रिप्टेड DNS इस्तेमाल कर सकता है, और नीति तालिका आंतरिक नामों को कॉर्पोरेट कॉन्फ़िगरेशन की अपेक्षा से भिन्न सर्वर पर भेज सकती है। इनमें से किसी को फ़ॉरवर्डिंग की ज़रूरत नहीं, और इनमें से कोई भी आंतरिक होस्टनाम को गलत जगह भेज सकता है।

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

दूसरी प्रोफ़ाइल जुड़ने से पहले और बाद में वे तीन आउटपुट कैप्चर करें। उनके बीच का अंतर वह प्रभाव है जो वास्तव में उपयोगकर्ता तक पहुँचता है, और अक्सर यह टिकट में बताए गए रूटिंग परिवर्तन से बड़ा होता है। दोनों कैप्चर रखें ताकि बाद का समीक्षक देख सके कि क्या बदला, यह नहीं कि क्या इरादा था।

सत्यापित करें और निकलने का रास्ता रखें

स्वीकृत अनुप्रयोग को उसी मशीन के प्रशासक शेल से नहीं, वास्तविक प्रक्रिया और उपयोगकर्ता संदर्भ से जाँचें। फिर पुष्टि करें कि असंबंधित गंतव्य वहाँ पहुँच से बाहर रहते हैं जहाँ डिज़ाइन यह माँगता है: जिस सीमा को किसी ने नहीं जाँचा वह ऐसी सीमा है जिसका कोई दावा नहीं कर सकता। निजी टनल डिस्कनेक्ट करने पर पिछली स्थिति बहाल होनी चाहिए, और जब तक कोई देख रहा हो तब उस बहाली की जाँच करना उचित है।

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

शून्य-विश्वास आर्किटेक्चर पर NIST का मार्गदर्शन यहाँ उपयोगी है क्योंकि वह नेटवर्क स्थान को विश्वास का स्वचालित स्रोत मानने से हटाता है, और यही यहाँ विवाद का विषय है। सवाल यह नहीं कि घरेलू नेटवर्क स्वभाव से भरोसेमंद है या नहीं; सवाल यह है कि कौन किस संसाधन तक, किस एंडपॉइंट से, किस प्रवर्तन बिंदु से पहुँच सकता है। इन तीनों का उत्तर दें, और निर्णय के साथ साक्ष्य रखें।