Munkavégzési VPN Szaúd-Arábiában: három kérdés, mielőtt hozzáférést kérsz

A visszautasított második bejelentkezés vagy egy blokkolt belső alkalmazás ritkán utal törött alagútra. A munkavégzési VPN-ek három külön dolgot kényszerítenek ki: mit érhet el a fiók, hány munkamenetet tarthat és mely belső szolgáltatások publikáltak a távoli felhasználók felé. Tedd fel ezt a három kérdést sorrendben, mert mindegyiknek más a tulajdonosa. Egy publikált keretrendszer, például a NCA távmunka-bevezetési útmutatója, hasznos keret a beszélgetéshez, nem ítélet bárki jogi helyzetéről.

Először: mit érhet el ez a fiók?

A hozzáférési jogokat a rendszer érzékenysége, a hozzáférési szint és az engedélyezett eszköztípus határozza meg, és ezek szervezeti döntések, nem az alagút tulajdonságai. A jelszó birtoklása csak arra válaszol, hogy létrehozható-e a kapcsolat. Nem mondja meg, hogy a fiók nyithat-e dokumentumot, adminisztrálhat-e szervert vagy módosíthat-e vezérlőt. A szándékolt erőforrást és műveletet kérd, ne a teljes hálózathoz való hozzáférést.

A célként megfogalmazott kérés könnyebben jóváhagyható, mint az érzésként megfogalmazott. Ezért az első kérdés az erőforrásról szól, nem a hálózatról.

Az NCA 2-2-1-1 pontosan ehhez a három dimenzióhoz köti a hozzáférési jogokat, ezért a válasznak rendszert és műveletet kell megneveznie. Ugyanez a logika jelenik meg a zéró bizalom elveiben: a hálózati hely nem jogosultság. A vállalati VPN-en lévő felhasználó és az otthoni kapcsolaton lévő felhasználó is hitelesíthető, és az alkalmazás továbbra is eldönti, mit tehet mindegyik.

Másodszor: hány munkamenet futhat egyszerre?

Az egyidejű távoli hozzáférés külön kontroll, és az NCA 2-2-1-2 a kivételek jóváhagyási útjával együtt szabályozza. A szervezetek gyakran korlátozzák, néha fiókonként egy aktív munkamenetre. A korlát az üzemeltető által beállított házirend-szám, nem protokoll-konstans, ezért a szervezeten kívül senki nem tudja megmondani az értéket. Egy elavult munkamenet, amelyet senki nem tud bezárni, önmagában is jelentésre érdemes üzemeltetési probléma.

Ha egy második laptopot elutasítanak, a szokásos magyarázat az első munkamenet. Kérdezd meg, hogyan azonosítja az üzemeltető a munkameneteket és hogyan zárják le az elavultakat; egyes rendszerek lejáratják a tétlen munkamenetet, mások addig tartják, amíg kifejezetten be nem fejezik. Ne telepítsd újra a klienst, ne cseréld a profilt és ne változtasd a kimeneteket, amíg ez a válasz meg nem érkezik.

Harmadszor: mely belső szolgáltatások publikáltak?

A távoli hozzáférés általában meghatározott szolgáltatás-, protokoll- és portkészletet publikál, és az NCA 2-4-1-1 ezt a készletet ahhoz tartja, amire a távmunka valóban igényt tart. A lista kisebb, mint a magánhálózat, és ez szándékos. Kérdezd meg, melyik szolgáltatásra és portra van szükséged, ahelyett hogy széles elérést kérnél, mert a széles kérést nehezebb indokolni és sokkal nehezebb később felülvizsgálni.

A támogatási kérésnek tartalmaznia kell a fiók szerepét, a jóváhagyott eszközt, a célszolgáltatást, a hiba idejét és a nem titkos hibaüzenetet. A szervezet csatornáján küldd el, ne annak, aki a csoportos csevegésben először válaszol. Ez elég a tulajdonosnak a házirend és a naplók ellenőrzéséhez. Jelszavak, helyreállítási kódok és privát kulcsok nem tartoznak bele.

Mit tegyél, ha a válasz nem

Az elutasítás gyakran hatókör-eltérés, nem biztonsági ítélet. Lehet, hogy a szolgáltatás csak irodai címekre publikált, vagy a szerepkörből hiányzik a művelet, pedig az alagút működik. Kérdezd meg, melyik a három kérdés közül bukott meg, és a megoldás általában nyilvánvalóvá válik. Ha kivételre van szükség, kérd meg a tulajdonost, hogy rögzítse, ahelyett hogy megkerülnéd.

Ne kérj kölcsön egy kolléga munkamenetét, ne kapcsold ki a kliens ellenőrzését, és ne tereld a forgalmat nem jóváhagyott kimeneten át, hogy egy teszt átmenjen. Ezek mindegyike egy ellenőrizhető elutasítást cserél olyan sikerre, amelyet senki nem tud ellenőrizni, és a következő felülvizsgálat megtalálja a különbséget. A jóváhagyott kivétel lassabb, és átvészeli az auditot.

A kérdések, amelyeket a tulajdonoshoz viszel

Írd le őket a hívás előtt: milyen erőforrásokra és műveletekre jóváhagyott ez a fiók, mi az egyidejű munkamenetek házirendje és hogyan tisztítják az elavult munkameneteket, és mely belső szolgáltatások és portok publikáltak a távoli felhasználók felé. Kérd meg a tulajdonost, hogy erősítse meg az aktuális alkalmazhatóságot, mert az útmutatókat felülvizsgálják, és a belső házirend szigorúbb lehet a publikált alapnál. Add hozzá az eszközkövetelményt, ha a szervezetnek van ilyen.

A kontrollkeret segít pontos kérdéseket feltenni. Nem engedélyez tevékenységet, és nem helyettesíti az üzemeltető válaszát.

Vidd vissza a válaszokat ugyanahhoz a tulajdonoshoz, amikor a következő változást javasolják. Ez teszi az egyszeri jóváhagyást olyan házirenddé, amelyet valaki fenntart.