Radni prijenosnik na osobnom VPN-u: što zapravo prelazi

Spajanje službenog prijenosnika na kućni VPN smješta ga na dva mjesta istodobno, a zanimljivo je pitanje manje i korisnije od alarmantnoga. Nitko nije provukao Ethernet kabel između ureda i kuće i nijedna ruta ne čini kućnu mrežu produžetkom korporativne podmreže. Postoji jedna krajnja točka s pristupom obama okruženjima, a tri odvojena mehanizma odlučuju što se doista može kretati između njih. Prolazak kroz ta tri, od krajnje točke prema vani, daje odgovor na koji se administrator može osloniti umjesto rasprave o oznakama.

Pođite od krajnje točke, a ne od mrežnog dijagrama

Krajnja točka mjesto je na kojem se oba spoja susreću, pa ondje počinje pregled: koji procesi rade, do čega mogu doći i tko njima upravlja. Dijagram koji prikazuje dva oblaka povezana s prijenosnikom točan je i beskoristan jer upućuje na vezu koje možda nema. Zamijenite ga popisom aplikacija koje mogu razgovarati sa svakim okruženjem i zabilježite pod kojim računom radi koja. Takav okvir održava pregled razmjernim, jer prijenosnik s dva tunela nije isti objekt kao dvije spojene mreže.

Taj je popis inventar iz kojeg radi ostatak pregleda. Ako sadrži klijenta za sinkronizaciju, profil preglednika prijavljen u oba okruženja i agenta za izgradnju s vjerodajnicama, pregled već ima svoje predmete.

Tri točke prijelaza, pregledane odvojeno

Pristup aplikacija prva je točka prijelaza i ne zahtijeva nikakvo prosljeđivanje. Kartica preglednika, klijent za sinkronizaciju ili agent za izgradnju na krajnjoj točki mogu čitati iz resursa u jednom okruženju i slati podatke u resurs u drugome. Ta sposobnost postoji neovisno o tome prosljeđuje li operacijski sustav pakete između sučelja, i upravo taj mehanizam ljudi propuste kad zaključe da nema mosta znači nema rizika. Čitanje popisa aplikacija stoga daje više od čitanja popisa sučelja.

Identitet i podaci tvore drugu točku prijelaza. Korporativne vjerodajnice, kolačići sesije, preuzeti dokumenti i upravljačka prava žive na krajnjoj točki, a pridruživanje drugoj mreži samo ih po sebi ne otkriva. Mijenja se skup strana koje bi mogle utjecati na krajnju točku dok ona drži te vjerodajnice, a to je pitanje pouzdanosti osobne mreže, ne usmjeravanja. To je prosudba koju vlasnik krajnje točke ne može donijeti sam, i na nju ne odgovara odsutnost pravila prosljeđivanja.

Mrežno prosljeđivanje treće je i jedino koje prijenosnik može pretvoriti u tranzitni uređaj. Prosljeđivanje IP-a, dijeljenje internetske veze, proxy ili značajka premosnice mogu to učiniti, a svako je postavka koja je ili uključena ili nije. Provjerite to stanje izravno umjesto da ga izvedete iz prisutnosti VPN klijenta. Na upravljanom stroju odgovor je obično ne, a njegova provjera pretvara pretpostavku u činjenicu koju vrijedi zabilježiti.

Zatražite jedan resurs, ne dvije mreže

Većina stvarnih zahtjeva uža je nego što se na prvi pogled čini: jedna konzola, jedan dijeljeni direktorij, jedna interna web aplikacija. Formulirajte zahtjev tako i pustite vlasnika resursa da odluči pripada li uopće ovoj krajnjoj točki. Zahtjev sročen kao spajanje dviju mreža teško je odobriti i lako odbiti; zahtjev za jednom imenovanom uslugom ima odgovor.

Ako je odgovor da, prednost dajte najužem podržanom putu i zadržite ga unutar postojećih kontrola organizacije. Upravljani drugi profil ili aplikacijski unos ograničenog opsega čuvaju nadzor i politiku; konkurentna osobna konfiguracija tiho ih zamjenjuje i nitko ne zna koja pobjeđuje nakon sljedećeg ažuriranja.

Uključite učinke DNS-a i ruta

Razrješavanje imena mijenja se u trenutku kada drugi profil postane aktivan. Osobni klijent može nametnuti vlastiti razrješivač, preglednik može rabiti vlastiti šifrirani DNS, a tablica politike može usmjeriti interna imena na drugi poslužitelj od onoga koji korporativna konfiguracija očekuje. Ništa od toga ne zahtijeva prosljeđivanje, a bilo što od toga može poslati interno ime hosta na pogrešno mjesto.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Zabilježite ta tri izlaza prije i nakon spajanja drugog profila. Razlika među njima učinak je koji doista stiže do korisnika i često je veći od promjene usmjeravanja koju opisuje zahtjev. Sačuvajte oba zapisa kako bi kasniji pregledatelj vidio što se promijenilo, a ne što je bilo namjera.

Provjerite i zadržite izlaz

Testirajte odobrenu aplikaciju iz stvarnog procesa i korisničkog konteksta, a ne iz administratorske ljuske na istom stroju. Zatim potvrdite da nepovezana odredišta ostaju nedostupna ondje gdje dizajn to zahtijeva: granica koju nitko nije testirao granica je na koju se nitko ne može pozvati. Isključivanje osobnog tunela trebalo bi vratiti prethodno stanje, a to vraćanje vrijedi provjeriti dok još netko gleda.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Smjernice NIST-a o arhitekturi nultog povjerenja korisne su ovdje jer uklanjaju mrežnu lokaciju kao automatski izvor povjerenja, što je upravo pretpostavka o kojoj je riječ. Pitanje nije je li kućna mreža po naravi pouzdana; pitanje je tko može doći do kojeg resursa, s koje krajnje točke i kroz koju točku provedbe. Odgovorite na ta tri i čuvajte dokaze uz odluku.