Ügyfél VPN-hozzáférés: a kiemelt munkának saját eszközt adunk

A kapcsolatprofil szerint Production, az alagút feljön, és az asztal minden ablaka most eléri az ügyfél rendszereit. A sorrendben semmi nem választotta el a kiemelt munkamenetet a mellette lévő böngészőlaptól. A VPN-profil egy név és útvonalak halmaza; az a határ, amely igazán számít, eszközidentitásból, felügyelt végrehajtási környezetből és hitelesítő adatok útvonalából épül fel. E hármat különböző helyeken kényszerítik ki, ezért ha az egyiket hozzáadjuk, a többit pedig kihagyjuk, olyan terv születik, amely megfelelőnek látszik, és nem az.

A profil neve nem határ

Az ügyfél az alagút feljöttével alkalmazza az útvonalakat és a DNS-konfigurációt, és minden, ami ezután azon a gépen fut, mindkettőt örökli.

A legördülő listában szereplő név azt változtatja meg, mit ismer fel az üzemeltető, nem azt, mit engedélyez az operációs rendszer.

Az eszközidentitás az, amit az átjáró ellenőrizni tud

Az az átjáró, amely támogatja az eszköztanúsítványokat vagy az állapotellenőrzéseket, a gépet éppúgy hitelesíti, mint a személyt. Ez az a réteg, amely még a jelszó begépelése előtt el tudja utasítani a nem kezelt laptopról érkező kapcsolatot. Az is konkrét lehetőséget ad a visszavonásra, ha egy eszköz elveszik. Egy tanúsítvány három gépre másolása pontosan ezt a tulajdonságot szünteti meg, ezért a tanúsítvány életciklusa a megállapodásba tartozik, nem egy megosztott mappába.

Az ügyfél dönti el, melyik ellenőrzést írja elő a szabályzata, és előfordulhat, hogy egy szállító által épített virtuális gép egyáltalán nem teljesíti az állapotellenőrzést.

Hol szivárog a virtuális gép határa

A virtuális gép együtt tartja az ügyfél eszközeit és a hálózat állapotát, és ez valóban hasznos. Függ azonban a hoszttól és a hypervisortól is, és több kényelmi elem átlépi a határt: megosztott mappák, vágólap-integráció, hitelesítőadat-ügynökök és hosztszintű felügyeleti hozzáférés. A napi használatú hoszton futó kiemelt vendég önmagában nem megbízható, mert a hoszt megfigyelheti, mit tesz a vendég. A virtuális gépet a kitettséget csökkentő kontrollnak tekintse, nem külön biztonsági tartománynak.

A dedikált fizikai eszköz megszünteti a hoszttól való függést, és helyette karbantartási kötelezettséget ad.

Hitelesítő adatok és átviteli útvonalak

Használjon egyéni, visszavonható identitásokat mérnökönként és ügyfelenként, és tartsa őket távol a személyes böngészőprofiloktól és a csevegési előzményektől. Az egész csapat által megosztott hitelesítő adatok nem rendelhetők hozzá, forgathatók vagy vonhatók vissza tisztán. Az első munkamenet előtt döntse el az eszközök, fájlok és diagnosztikai kimenet átviteli útvonalát, mert az alkalmi fájlmozgatás az, amitől egy határ csendesen megszűnik határnak lenni. Ha két ügyfelet egyszerre kell elérni, előbb szerezze meg a hálózat és az identitás szétválasztásának jóváhagyását.

Soha ne hidaljon össze két ügyfélhálózatot egy munkaállomáson keresztül csak azért, mert azon a délutánon kényelmes volt.

A megállapodás, amely ismételhetővé teszi

Írjon rövid feljegyzést ügyfelenként és tartsa ott, ahol mindkét fél megtalálja. Meg kell neveznie a jóváhagyott eszközt vagy távoli környezetet és annak karbantartóját, az engedélyezett identitásokat, a rendszereket és műveleteket, amelyeket elérhetnek, az átviteli útvonalat, valamint a munkamenet szokásos lezárását.

Öt sor, amelyet valaki átnéz, amikor egy ember belép vagy kilép, többet ér, mint egy szabályzat, amelyet senki sem tud alkalmazni:

• Jóváhagyott eszköz vagy távoli környezet, megnevezett karbantartási felelőssel.
• A támogatáshoz engedélyezett egyéni felhasználói és eszközidentitások.
• Rendszerek és műveletek, amelyeket ezek az identitások elérhetnek.
• Engedélyezett útvonal az eszközök, fájlok és diagnosztikai kimenet számára.
• A munkamenet lezárásának folyamata és egy engedélyezett vészhelyzeti alternatíva.

Vészhelyzeti hozzáférés a hitelesítő adatok mozgatása nélkül

Amikor egy kontroll blokkol egy sürgős javítást, az útvonal a kivétel folyamata, nem egy második laptop ugyanazokkal a hitelesítő adatokkal. A jóváhagyott kivétel rögzíti, ki engedélyezte, mit enyhítettek, és mikor ér véget. Egy hitelesítő adat napi használatú gépre mozgatása a lehető legrosszabb pillanatban változtatja meg a határt, és általában utána is megváltozott marad. A vészútvonal megérdemel egy gyakorlatot, amíg semmi sem hibás.

Ezután fejezze be a munkamenetet a megállapodás szerint, és erősítse meg, hogy a hozzáférés valóban megszűnt.