VPN za mali ured: držite ga podalje od kontrolera domene

Tri uvjeta odlučuju treba li jedini Windows poslužitelj ureda ujedno završavati VPN: koliko softvera okrenutog internetu pristajete pokretati na direktoriju, možete li autentificirati udaljene korisnike bez te uloge i što se događa s vašim upravljačkim pristupom kad se host ponovno podigne. Ako bilo koji od tri ima loš odgovor, razdvojite uloge. To što je ured mali mijenja proračun, ne rizik.

Kontroleru domene vjeruje svako računalo u domeni; VPN pristupniku može pristupiti bilo tko na internetu. Ta asimetrija je cijeli argument.

Dva posla s dva različita profila izloženosti

Pristupnik prihvaća veze izvana, pa su njegov slušatelj, TLS stog i površina za autentifikaciju svi dostupni s nepouzdanih mreža. Direktorij drži autoritet kojem druga računala vjeruju, zato Microsoftove smjernice za očvršćivanje tretiraju ulogu kontrolera domene i njegovo okruženje hostanja kao posebno osjetljive. Svaka usluga dodana tom hostu nasljeđuje položaj povjerenja direktorija i dodaje vlastitu napadačku površinu. Pogodnost instalacije nije granica povjerenja.

Razdvajanje uloga ne uklanja zavisnosti. Udaljenim korisnicima i dalje trebaju autentifikacija, rute, DNS i pravila pristupa, a pristupnik koji ih preskače nije sigurniji, samo manje koristan.

Autentifikacija bez uloge direktorija

Pristupnik može provjeravati vjerodajnice kroz podržanu vanjsku integraciju bez hostanja samog direktorija. Kakva god ta integracija bila, dajte joj račun čija prava odgovaraju svrsi: čitanje atributa potrebnih za autentifikaciju, ništa više. Puštanje VPN korisnika nikada ne zahtijeva da njihovi obični računi postanu administratori domene i nikada ne zahtijeva da pristupnik drži kopiju direktorija.

Zatim ograničite mrežne putanje koje udaljeni klijent doista treba. Pristup jednoj internoj datotečnoj usluzi, plus usluge razrješavanja imena i identiteta o kojima taj tijek rada ovisi, definiran je skup putanja. To nije razlog da dopustite svaki port kontrolera domene ili svako administrativno sučelje iz VPN skupa.

Jedan host je i dalje jedna domena kvara

Dva gosta na jednom hipervizoru razdvajaju konfiguraciju svojih operacijskih sustava, a ne razdvajaju svoju sudbinu. Administratori hipervizora, virtualno preklapanje, pohrana i sigurnosne kopije ostaju dio dizajna, a ponovno podizanje hosta uklanja obje usluge odjednom. Nazivati to visokom dostupnošću jer dijagram prikazuje dva VM-a česta je i skupa pogreška. Ako jedini put natrag vodi kroz VPN na tom hostu, kvar oduzima vezu potrebnu za popravak.

Zato planirajte neovisnu upravljačku putanju koja ne ovisi o tunelu i zapišite što ostaje dostupno tijekom održavanja. Rasporedite ažuriranja pristupnika i održavanje direktorija odvojeno, bilježeći koje korisnike ili aplikacije svaki prekid dotiče.

Prozor održavanja koji zahtijeva da VPN bude aktivan kako bi se popravio VPN nije prozor održavanja.

Premjestite ga bez zaključavanja izvana

Ako uloge već dijele jednu instalaciju, izbjegnite užurbanu udaljenu migraciju. Popišite što pristupnik danas posjeduje: adrese, pravila prosljeđivanja, NAT, DNS postavke, konfiguraciju autentifikacije i sve objavljene usluge. Pripremite i zamjenu i put natrag prije nego premjestite slušatelja ili promijenite zadanu rutu. Zatim testirajte stvarni rad običnog udaljenog korisnika kroz novu granicu i potvrdite da nepotreban administrativni pristup i dalje ne prolazi.

Cilj nije ljepši dijagram. To je sposobnost popravka ili ponovne izgradnje VPN-a bez diranja kutije koja usidruje povjerenje direktorija za cijeli ured. To su različiti ciljevi i samo jednom od njih treba drugi poslužitelj.

Zabilježite odluku u svakom slučaju, uključujući uvjete koji bi je ponovno otvorili. Mali ured raste, a odgovor koji je odgovarao jednom poslužitelju možda neće odgovarati sljedećem.