Munkalaptop személyes VPN-en: mi megy át valójában

Ha egy vállalati laptopot otthoni VPN-hez csatlakoztatunk, az egyszerre két helyen lesz, és az érdekes kérdés kisebb és hasznosabb a riasztónál. Senki nem fektetett Ethernet-kábelt az iroda és az otthon közé, és egyetlen útvonal sem teszi az otthoni hálózatot a vállalati alhálózat kiterjesztésévé. Ami létezik, az egyetlen végpont, amely mindkét környezethez hozzáfér, és három külön mechanizmus dönti el, mi tud valójában mozogni köztük. E három végigjárása a végponttól kifelé olyan választ ad, amelyre a rendszergazda cselekedhet, a címkékről folytatott vita helyett.

A végpontnál kezdje, ne a hálózati rajznál

A végpont az a hely, ahol a két kapcsolat találkozik, tehát ott kezdődik az átvizsgálás: mely folyamatok futnak, mit érhetnek el és ki irányítja őket. Az a rajz, amely két, laptophoz kapcsolt felhőt mutat, pontos és hasznavehetetlen, mert olyan kapcsolatra utal, amely talán nem is létezik. Cserélje le azoknak az alkalmazásoknak a listájára, amelyek minden környezettel beszélhetnek, és jegyezze fel, melyik fiók alatt fut mindegyik. Ez a keret arányos is tartja az átvizsgálást, mert a két alagutú laptop nem ugyanaz az objektum, mint két összekapcsolt hálózat.

Ez a lista az a leltár, amelyből az átvizsgálás többi része dolgozik. Ha tartalmaz szinkronizáló klienst, mindkét környezetbe bejelentkezett böngészőprofilt és hitelesítő adatokkal rendelkező build-ügynököt, az átvizsgálásnak már megvannak a tárgyai.

Három átlépési pont, külön-külön átvizsgálva

Az alkalmazás-hozzáférés az első átlépési pont, és nem igényel semmilyen továbbítást. A végponton lévő böngészőlap, szinkronizáló kliens vagy build-ügynök olvashat az egyik környezet erőforrásából, és adatot küldhet a másik környezet erőforrásába. Ez a képesség attól függetlenül létezik, hogy az operációs rendszer továbbít-e csomagokat az interfészek között, és pont ezt a mechanizmust hagyják ki az emberek, amikor arra jutnak, hogy nincs híd, tehát nincs kockázat. Ezért az alkalmazások listájának olvasása többet mond, mint az interfészek listájának olvasása.

Az identitás és az adat alkotja a második átlépési pontot. A vállalati hitelesítő adatok, a munkamenet-sütik, a letöltött dokumentumok és a kezelési jogosultságok a végponton élnek, és egy másik hálózathoz csatlakozni önmagában nem fedi fel őket. Ami változik, az azoknak a feleknek a halmaza, amelyek befolyásolhatják a végpontot, amíg az tartja ezeket a hitelesítő adatokat, és ez a személyes hálózat megbízhatóságának kérdése, nem az útvonalválasztásé. Ez olyan ítélet, amelyet a végpont tulajdonosa nem hozhat meg egyedül, és amelyre nem válaszol a továbbítási szabály hiánya.

A hálózati továbbítás a harmadik, és az egyetlen, amely a laptopot tranzit-eszközzé tudja tenni. Az IP-továbbítás, az internetkapcsolat megosztása, egy proxy vagy egy híd funkció mindezt megteheti, és mindegyik olyan beállítás, amely vagy engedélyezett, vagy nem. Ezt az állapotot közvetlenül vizsgálja meg, ahelyett hogy egy VPN-kliens jelenlétéből következtetne rá. Felügyelt gépen a válasz általában nem, és ennek ellenőrzése a feltevést rögzítésre érdemes ténnyé alakítja.

Egy erőforrást kérjen, ne két hálózatot

A valós igények többsége szűkebb annál, mint amilyennek elsőre látszik: egy konzol, egy fájlmegosztás, egy belső webalkalmazás. Fogalmazza meg így az igényt, és hagyja, hogy az erőforrás tulajdonosa döntse el, egyáltalán ehhez a végponthoz tartozik-e. A két hálózat összekapcsolásaként megfogalmazott kérelem nehezen hagyható jóvá és könnyen elutasítható; az egy megnevezett szolgáltatásra vonatkozó kérelemnek van válasza.

Ha a válasz igen, részesítse előnyben a legszűkebb támogatott utat, és tartsa a szervezet meglévő ellenőrzésein belül. A felügyelt második profil vagy a korlátozott hatókörű alkalmazásbejegyzés megőrzi a megfigyelést és a házirendet; egy versengő személyes konfiguráció csendben lecseréli őket, és senki nem tudja, melyik győz a következő frissítés után.

Foglalja bele a DNS- és útvonalhatásokat

A névfeloldás abban a pillanatban megváltozik, amikor egy második profil aktív lesz. Egy személyes kliens kikényszerítheti a saját feloldóját, egy böngésző használhatja a saját titkosított DNS-ét, és egy házirend-táblázat a belső neveket más kiszolgálóra irányíthatja, mint amire a vállalati konfiguráció számít. Ezek egyike sem igényel továbbítást, és bármelyikük rossz helyre küldhet egy belső hosztnevet.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Rögzítse ezt a három kimenetet a második profil csatlakozása előtt és után. A köztük lévő különbség az a hatás, amely valóban eléri a felhasználót, és gyakran nagyobb, mint a jegyben leírt útvonalváltozás. Őrizze meg mindkét rögzítést, hogy egy későbbi bíráló lássa, mi változott, és ne azt, minek kellett volna történnie.

Ellenőrizze, és tartson fenn kijáratot

A jóváhagyott alkalmazást a valódi folyamatból és felhasználói környezetből tesztelje, ne ugyanazon gép rendszergazdai héjából. Ezután erősítse meg, hogy a nem kapcsolódó célok elérhetetlenek maradnak ott, ahol a tervezés ezt megköveteli: a határ, amelyet senki nem tesztelt, olyan határ, amelyre senki nem hivatkozhat. A személyes alagút bontásának vissza kell állítania az előző állapotot, és ezt a visszaállítást érdemes ellenőrizni, amíg valaki még figyel.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

A NIST nulla bizalom architektúráról szóló útmutatása itt hasznos, mert eltávolítja a hálózati helyet mint automatikus bizalmi forrást, és pontosan ez a vitatott feltevés. A kérdés nem az, hogy az otthoni hálózat természeténél fogva megbízható-e; hanem az, hogy ki melyik erőforrást érheti el, melyik végponttól és melyik kényszerítési ponton keresztül. Válaszoljon erre a háromra, és őrizze meg a bizonyítékokat a döntéssel együtt.