Pristup klijenata putem VPN-a: dajte privilegiranom radu vlastiti uređaj

Profil veze kaže Production, tunel se podiže i svaki prozor na radnoj površini sada može doći do klijentovih sustava. Ništa u tom slijedu nije odvojilo privilegiranu sesiju od susjedne kartice preglednika. VPN profil je naziv plus skup ruta; granica do koje vam je doista stalo gradi se od identiteta uređaja, kontroliranog okruženja za izvršavanje i puta za akreditive. To troje provodi se na različitim mjestima, zato dodavanje jednoga i preskakanje ostalih daje dizajn koji izgleda usklađeno, a nije.

Naziv profila nije granica

Klijent primjenjuje rute i DNS konfiguraciju kad se tunel podigne, a sve što se poslije izvršava na tom stroju nasljeđuje oboje.

Naziv u padajućem izborniku mijenja što operater prepoznaje, a ne što operacijski sustav dopušta.

Identitet uređaja je ono što mrežni prolaz može provjeriti

Prolaz koji podržava certifikate uređaja ili provjere stanja autentificira i stroj i osobu. To je sloj koji može odbiti vezu s neupravljanog prijenosnog računala prije nego što itko upiše lozinku. Daje vam i nešto konkretno za opoziv kad se uređaj izgubi. Kopiranje jednog certifikata na tri stroja uklanja upravo to svojstvo, zato životni ciklus certifikata pripada sporazumu, a ne dijeljenoj mapi.

Klijent odlučuje koje od tih kontrola njegova politika zahtijeva, a virtualni stroj koji je izradio dobavljač možda uopće ne zadovoljava provjeru stanja.

Gdje granica virtualnog stroja propušta

Virtualni stroj drži klijentske alate i stanje mreže zajedno i to je doista korisno. No ovisi i o svom hostu i o hipervizoru, a nekoliko pogodnosti prelazi granicu: dijeljene mape, integracija međuspremnika, agenti za akreditive i administrativni pristup na razini hosta. Privilegirani gost na hostu koji se svakodnevno rabi nije neovisno pouzdan, jer host može promatrati što gost radi. Tretirajte virtualni stroj kao kontrolu koja smanjuje izloženost, ne kao odvojen sigurnosni domen.

Namjenski fizički uređaj uklanja ovisnost o hostu i na njezino mjesto dodaje obvezu održavanja.

Akreditivi i putovi prijenosa

Rabite pojedinačne, opozive identitete za svakog inženjera i svakog klijenta i držite ih podalje od osobnih profila preglednika i povijesti razgovora. Akreditive koje dijeli cijeli tim ne mogu se čisto pripisati, rotirati ni opozvati. Odredite put prijenosa za alate, datoteke i dijagnostički izlaz prije prve sesije, jer je spontano prebacivanje datoteka način na koji granica tiho prestaje biti granica. Ako se dvoje klijenata mora dosegnuti istodobno, prvo ishodite odobrenje za razdvajanje mreže i identiteta.

Nikada ne povezujte dvije klijentske mreže kroz jedno radno mjesto samo zato što je to tog poslijepodneva bilo zgodno.

Sporazum koji ovo čini ponovljivim

Napišite kratak zapis po klijentu i čuvajte ga gdje ga obje strane mogu naći. U njemu treba navesti odobreni uređaj ili udaljeno okruženje i tko ga održava, dopuštene identitete, sustave i operacije do kojih mogu doći, put prijenosa i uobičajen način na koji sesija završava.

Pet redaka koje netko pregleda kad osoba dođe ili ode pobjeđuju politiku koju nitko ne može primijeniti:

• Odobreni uređaj ili udaljeno okruženje, s imenovanim vlasnikom održavanja.
• Pojedinačni korisnički i identiteti uređaja dopušteni za podršku.
• Sustavi i operacije do kojih ti identiteti mogu doći.
• Dopušteni put za alate, datoteke i dijagnostički izlaz.
• Proces završetka sesije i ovlaštena hitna alternativa.

Hitni pristup bez premještanja akreditiva

Kad kontrola blokira hitan popravak, put je proces izuzetka, a ne drugo prijenosno računalo s istim akreditivima. Odobreni izuzetak bilježi tko ga je odobrio, što je ublaženo i kada prestaje. Premještanje akreditiva na svakodnevni stroj mijenja granicu u najgorem mogućem trenutku i obično poslije ostane promijenjena. Hitna ruta zaslužuje probu dok ništa nije pokvareno.

Zatim završite sesiju kako sporazum kaže i potvrdite da je pristup doista prestao.