Կենտրոնացրեք գործընկերների VPN հասանելիությունը՝ առանց գործընկերներին միավորելու

Առաջարկը ողջամիտ է՝ հինգ գործընկերային թունել՝ բաշխված մեկ տասնյակ նոթբուքերի վրա, հինգ հավաքածու սպասարկող ծրագրի տարբերակներ, հինգ սեղանադիր աջակցության սկրիպտ և մեկ ինժեներ, ով գիտի, թե ինչպես են դրանք միանում։ Դրանք վերահսկվող հասանելիության մակարդակ տեղափոխելը լուծում է վերջնակետերի ցրումը։ Այն նաև ստեղծում է նոր օբյեկտ ձեր ճարտարապետության մեջ՝ ընդհանուր հասանելիության ծառայություն, որը հիմա կարիք ունի իր սեփական լիազորման մոդելին, և անհաջողությունը, որը բոլորը թերագնահատում են, մի կենտրոնական սարք է՝ բոլոր թունելներով միացված, որը հանգիստ դառնում է տարանցիկ ցանց այն կազմակերպությունների միջև, որոնք երբեք չեն համաձայնել հարևան լինել։ Այդ ռիսկը նախագծային ընտրություն է, ոչ թե ինչ-որ բան, որ սարքավորումն ինքն է անում։ Ներքևի աշխատանքը ցույց է տալիս, թե ինչպես եմ պահում հարմարավետությունը՝ չընդունելով պատահական կողմնակի ազդեցությունը։

Սկսեք պայմանագրից, որն արդեն ստորագրել է յուրաքանչյուր գործընկեր

Ցանկացած կարգավորումից առաջ հաստատեք, որ գործընկերը ընդհանրապես թույլատրում է ընդհանուր դարպաս կամ տեղամասի միացում։ Անձնական հեռահար հասանելիության հաշիվը, սարքի վիճակի պահանջը կամ ինտերակտիվ MFA հոսքը կարող է փոխանցելի չլինել չհսկվող ընդհանուր թունելին, և աշխատակիցներին մեկ պատճենված հաճախորդի ինքնության հետևում հավաքելը այն կարճուղին է, որ գոյատևում է այնքան, մինչև գործընկերը ստուգի իր մատյանները։ Յուրաքանչյուր թույլատրված միացման համար գրանցեք նպատակակետերի միջակայքերը, մասնավոր DNS տիրույթները, լիազորված ներքին աղբյուրները, նույնականացման սեփականատիրոջը և այն, թե ինչ պետք է տեղի ունենա թունելի ձախողման դեպքում։ Խնդրեք գործընկերոջը գրավոր հաստատել ընդհանուր միացումը՝ ներառյալ աղբյուրի այն միջակայքերը, որոնք նա կընդունի։ Բանավոր հաստատումը սովորաբար փոխում է իմաստը այն շաբաթ, երբ փոխվում է նրանց անվտանգության թիմը։

Այդ գրանցումը արդյունքն է։ Եթե չեք կարող այն գրել մեկ գործընկերոջ համար, այդ գործընկերը պատրաստ չէ կենտրոնացման։

Երթուղավորեք ըստ համատեքստի, ոչ միայն ըստ նպատակակետի

Երկու գործընկեր ի վերջո կօգտագործեն նույն մասնավոր միջակայքը, քանի որ յուրաքանչյուր կազմակերպություն ընտրում է նույն RFC 1918 տարածությունից։ Մեկ սովորական երթուղային աղյուսակ չի կարող ճիշտ գործընկերոջը ընտրել միայն նպատակակետի հասցեով, ուստի համընկնող միջակայքերը պահանջում են առանձին երթուղային համատեքստեր կամ այլ համաձայնեցված նախագիծ։ Փոխանցման տիրույթի մոդելը RFC 4364-ում բացատրում է, թե ինչու է այդ բաժանումը կարևոր, և տեղակայմանը պետք չէ MPLS գործարկել իր դարպասի հարթակից նույն հատկությունը պահանջելու համար։

Ուղիղ հարց տվեք հարթակին՝ կարո՞ղ են երկու գործընկերներ կիսել նույն նպատակակետ նախածանցը և դեռ տարբերվել այն բանով, թե աշխատողի որ համատեքստից է եկել նստաշրջանը։ Եթե պատասխանը ոչ է, այդ սահմանափակումն ավելի շատ է ձևավորում նախագիծը, քան մատակարարի ցանկացած հատկանիշների ցանկ։

Որտեղ պատասխանը այո է, երթուղային համատեքստը դառնում է այն, ինչ փաստաթղթավորում և փորձարկում եք, քանի որ այն անտեսանելի է traceroute-ում։

Որոշեք, թե աշխատակիցն ինչ է մուտքագրում, և գործընկերն ինչ է գրանցում

Գործընկերոջ աշխատանքի մի մասը համապատասխանում է հավելվածի պրոքսիին կամ այդ գործընկերոջ համատեքստում բացվող հեռավոր աշխատանքային տարածքին։ Մյուս աշխատանքը պահանջում է երթուղավորված ցանցային հասանելիություն հաստատված աշխատակիցների հատվածից, և երկուսն էլ հեռավոր ծայրում տալիս են տարբեր աղբյուրի հասցեներ և տարբեր աուդիտի հետքեր։ Ընդհանուր թարգմանված աղբյուրի հասցեն կարող է բավարարել թույլատրելիների ցանկը՝ միաժամանակ թաքցնելով, թե որ սարքն ինչ արեց, ուստի պահեք աշխատակցից նստաշրջան հուսալի գրանցում և թողեք հավելվածի նույնականացումը տեղում՝ դարպասի հասցեն ինքնություն համարելու փոխարեն, ինչը հարմար է մինչև այն պահը, երբ գործընկերը հարցնի, թե ով է արել դա։

Ապա անցեք մեկ իրական առաջադրանք աշխատակցի կողմից՝ ինչի վրա են սեղմում, ինչ են պահանջում նրանցից և ինչ կտեսներ գործընկերը, եթե մատյանի գրառում պահանջեր։ Եթե այդ անցումը վերարտադրելի չէ, նախագիծը ավարտված չէ։

Արգելեք գործընկեր-գործընկեր տարանցումը բացահայտ

Ընդհանուր սարքավորումը երբեք չպետք է նշանակի ընդհանուր վստահություն։ Ավելացրեք արգելքը որպես միտումնավոր կանոն՝ նշված սեփականատիրոջով, ոչ որպես բացակայող կարգավորման պատահար, և փորձարկեք այն երկու ուղղությամբ մի հարցումով, որն այլապես կհաջողվեր։ Փորձարկումը կարևոր է, քանի որ միայն բացակայող թույլտվությունը կարող է վերականգնել հաջորդ ինժեները, ով երթուղի է ավելացնում անկապ բողոքը լուծելու համար։

Գրեք արգելքը գործընկերոջ գրանցման մեջ՝ թույլտվությունների կողքին, որպեսզի մտադրությունը վերապրի անձնակազմի փոփոխությունները։

Գործարկեք այն որպես ընդհանուր ծառայություն, ոչ որպես ավելի մեծ նոթբուք

Թունելների նորացումը, հավատարմագրերի ռոտացիան, հզորությունը և դարպասի փոխարինումը հիմա բոլորը դառնում են ընդհանուր ծառայության փոփոխություններ, ինչը նշանակում է, որ նրանց պետք է ժամանակացույց և հաղորդակցության ուղի, որը առանձին նոթբուքերը երբեք չեն պահանջել։ Շաբաթ օրը լրանալու գործընկերոջ վկայագիրն այլևս մեկ օգտատիրոջ ընդհատում չէ. դա այդ գործընկերոջ բոլոր նստաշրջաններն են միաժամանակ։

Ընդունեք մակարդակը միայն այն ժամանակ, երբ մերժված միջգործընկերային հարցումը ձախողվում է հենց ինչպես մտադրված էր, և թույլատրված աշխատակցի հարցումը հասնում է ճիշտ նպատակակետին ճիշտ աղբյուրով։ Նոթբուքների հակասությունը վերացնելը՝ պահելով յուրաքանչյուր գործընկերոջ սահմանը անձեռնմխելի, ամբողջ իմաստն է. նախագիծը, որտեղ յուրաքանչյուր հեռավոր նախածանց հասանելի է յուրաքանչյուր սեղանից, պարզապես տեղափոխել է խնդիրը։

Պահեք փոքր աղյուսակ գործընկերոջ, համատեքստի, թույլատրված միջակայքերի և սեփականատիրոջ մասին։ Միջադեպի ժամանակ առաջինը հենց դա կհարցնեն։