VPN egy kis irodának: tartsa távol a tartományvezérlőtől

Három feltétel dönti el, hogy az iroda egyetlen Windows-kiszolgálója végezze-e a VPN-t is: mennyi internettel érintkező szoftvert hajlandó a címtáron futtatni, tud-e távoli felhasználókat hitelesíteni e szerep nélkül, és mi történik a felügyeleti hozzáférésével, amikor a gazdagép újraindul. Ha a három közül bármelyikre rossz a válasz, válassza szét a szerepeket. Az, hogy az iroda kicsi, a költségvetést változtatja meg, nem a kockázatot.

A tartományvezérlőben a tartomány minden gépe megbízik; a VPN-átjárót az interneten bárki elérheti. Ez az aszimmetria a teljes érv.

Két munka, két különböző kitettségi profillal

Az átjáró kívülről fogad kapcsolatokat, így a figyelője, a TLS-vereme és a hitelesítési felülete mind elérhető nem megbízható hálózatokból. A címtár olyan tekintélyt tart, amelyben más gépek megbíznak, ezért a Microsoft megerősítési útmutatása különösen érzékenynek tekinti a tartományvezérlő szerepét és annak üzemeltetési környezetét. Minden erre a gazdagépre telepített szolgáltatás örökli a címtár bizalmi helyzetét, miközben saját támadási felületet ad hozzá. A telepítés kényelme nem bizalmi határ.

A szerepek szétválasztása nem szünteti meg a függőségeket. A távoli felhasználóknak továbbra is kell hitelesítés, útvonalak, DNS és hozzáférési szabályok, és az átjáró, amely ezeket kihagyja, nem biztonságosabb, csak kevésbé hasznos.

Hitelesítés a címtár szerepe nélkül

Az átjáró támogatott külső integráción keresztül ellenőrizheti a hitelesítő adatokat anélkül, hogy maga a címtár üzemelne. Bármi is ez az integráció, adjon neki olyan fiókot, amelynek jogai a célhoz illeszkednek: a hitelesítéshez szükséges attribútumok olvasása, semmi több. A VPN-felhasználók beengedése soha nem teszi szükségessé, hogy szokásos fiókjaik tartományi rendszergazdák legyenek, és soha nem teszi szükségessé, hogy az átjáró a címtár másolatát tartsa.

Ezután korlátozza azokat a hálózati útvonalakat, amelyekre a távoli kliensnek valóban szüksége van. Az egy belső fájlszolgáltatáshoz való hozzáférés, valamint a névfeloldási és identitásszolgáltatások, amelyektől ez a munkafolyamat függ, meghatározott útvonalhalmaz. Ez nem ok arra, hogy a VPN-készletből minden tartományvezérlő-portot vagy minden felügyeleti interfészt engedélyezzen.

Egy gazdagép továbbra is egy hibadomén

Egy hipervizoron két vendég elválasztja az operációs rendszer konfigurációját, de nem választja el a sorsukat. A hipervizor rendszergazdái, a virtuális kapcsolás, a tárolás és a biztonsági mentések a tervezés részei maradnak, és a gazdagép újraindítása egyszerre távolítja el mindkét szolgáltatást. Ezt magas rendelkezésre állásnak nevezni, mert az ábra két VM-et mutat, gyakori és drága hiba. Ha az egyetlen visszavezető út az adott gazdagép VPN-jén keresztül vezet, egy hiba elveszi a javításához szükséges kapcsolatot.

Ezért tervezzen független felügyeleti útvonalat, amely nem függ az alagúttól, és írja le, mi marad elérhető a karbantartás alatt. Az átjáró frissítéseit és a címtár karbantartását külön ütemezze, megjegyezve, mely felhasználókat vagy alkalmazásokat érinti az egyes megszakítások.

Az a karbantartási ablak, amelyhez a VPN-nek futnia kell a VPN javításához, nem karbantartási ablak.

Helyezze át anélkül, hogy kizárná magát

Ha a szerepek már egy telepítést osztanak meg, kerülje a kapkodó távoli migrációt. Leltározza, mi van ma az átjáró birtokában: címek, továbbítási szabályok, NAT, DNS-beállítások, hitelesítési konfiguráció és minden közzétett szolgáltatás. Készítse elő a cserét és a visszautat is, mielőtt áthelyezi a figyelőt vagy módosít egy alapértelmezett útvonalat. Ezután tesztelje egy hétköznapi távoli felhasználó valódi munkáját az új határon keresztül, és erősítse meg, hogy a szükségtelen felügyeleti hozzáférés továbbra is meghiúsul.

A cél nem egy szebb ábra. Az a képesség, hogy a VPN-t anélkül javítsa vagy építse újra, hogy hozzányúlna a dobozhoz, amely az egész iroda címtárbizalmát rögzíti. Ezek különböző célok, és csak az egyikük igényel második kiszolgálót.

Rögzítse a döntést akárhogy is, beleértve azokat a feltételeket, amelyek újranyitnák. Egy kis iroda nő, és az egy kiszolgálóhoz illő válasz talán nem illik a következőhöz.