VPN փոքր գրասենյակի համար՝ հեռու պահեք տիրույթի կարգավորիչից

Երեք պայման է որոշում՝ արդյոք գրասենյակի միակ Windows սերվերը պետք է նաև ավարտի VPN-ը՝ որքան ինտերնետին ուղղված ծրագրային ապահովում եք պատրաստ գործարկել գրացուցակի վրա, կարող եք արդյոք նույնականացնել հեռավոր օգտատերերին առանց այդ դերի, և ինչ է պատահում ձեր կառավարման հասանելիությանը, երբ հոսթը վերագործարկվում է։ Եթե երեքից որևէ մեկի պատասխանը վատ է, առանձնացրեք դերերը։ Գրասենյակի փոքր լինելը փոխում է բյուջեն, ոչ թե ռիսկը։

Տիրույթի յուրաքանչյուր մեքենա վստահում է տիրույթի կարգավորիչին՝ VPN դարպասին կարող է հասնել ցանկացած ոք ինտերնետում։ Այդ անհամաչափությունը ամբողջ փաստարկն է։

Երկու աշխատանք՝ երկու տարբեր ենթարկվածության պրոֆիլներով

Դարպասը ընդունում է կապեր դրսից, ուստի նրա լսորդը, TLS փաթեթը և նույնականացման մակերևույթը բոլորն էլ հասանելի են անվստահելի ցանցերից։ Գրացուցակը կրում է իշխանություն, որին վստահում են այլ մեքենաներ, այդ պատճառով Microsoft-ի ամրապնդման ուղեցույցը տիրույթի կարգավորիչի դերն ու նրա հոսթինգային միջավայրը համարում է հատկապես զգայուն։ Այդ հոսթին ավելացված յուրաքանչյուր ծառայություն ժառանգում է գրացուցակի վստահության դիրքը և ավելացնում իր հարձակման մակերևույթը։ Տեղադրման հարմարավետությունը վստահության սահման չէ։

Դերերի տարանջատումը չի վերացնում կախվածությունները։ Հեռավոր օգտատերերին դեռ պետք են նույնականացում, երթուղիներ, DNS և մուտքի կանոններ, և դարպասը, որը շրջանցում է դրանք, ավելի անվտանգ չէ, միայն ավելի քիչ օգտակար։

Նույնականացում առանց գրացուցակի դերի

Դարպասը կարող է վավերացնել հավատարմագրերը աջակցվող արտաքին ինտեգրման միջոցով՝ առանց ինքը գրացուցակը հոսթավորելու։ Ինչ էլ լինի այդ ինտեգրումը, տրամադրեք նրան հաշիվ, որի իրավունքները համապատասխանում են նպատակին՝ կարդալ նույնականացման համար անհրաժեշտ հատկանիշները, ոչ ավելին։ VPN օգտատերերին ընդունելը երբեք չի պահանջում նրանց սովորական հաշիվները դարձնել տիրույթի ադմինիստրատորներ, և երբեք չի պահանջում, որ դարպասը պահի գրացուցակի պատճենը։

Այնուհետև սահմանափակեք ցանցային ուղիները, որոնք հեռավոր հաճախորդին իսկապես անհրաժեշտ են։ Մեկ ներքին ֆայլային ծառայության հասանելիությունը, գումարած այն անունների լուծման և ինքնության ծառայությունները, որոնցից կախված է այդ աշխատանքային հոսքը, ուղիների սահմանված հավաքածու է։ Սա պատճառ չէ VPN լողավազանից թույլատրել տիրույթի կարգավորիչի բոլոր պորտերը կամ բոլոր ադմինիստրատիվ ինտերֆեյսները։

Մեկ հոսթը դեռ մեկ խափանման տիրույթ է

Մեկ հիպերվիզորի վրա երկու հյուրեր առանձնացնում են իրենց օպերացիոն համակարգի կոնֆիգուրացիան և չեն առանձնացնում իրենց ճակատագիրը։ Հիպերվիզորի ադմինիստրատորները, վիրտուալ անջատումը, պահեստավորումը և պահուստային պատճենները մնում են նախագծի մաս, և հոսթի վերագործարկումը միանգամից հեռացնում է երկու ծառայությունները։ Սա բարձր հասանելիություն անվանելը, որովհետև դիագրամը ցույց է տալիս երկու VM, տարածված և թանկ սխալ է։ Եթե վերադարձի միակ ուղին անցնում է այդ հոսթի VPN-ով, խափանումը խլում է այն կապը, որն անհրաժեշտ է այն վերանորոգելու համար։

Ուստի պլանավորեք անկախ կառավարման ուղի, որը կախված չէ թունելից, և գրի առեք, թե ինչ է մնում հասանելի սպասարկման ընթացքում։ Պլանավորեք դարպասի թարմացումները և գրացուցակի սպասարկումը առանձին՝ նշելով, թե որ օգտատերերին կամ հավելվածներին է դիպչում յուրաքանչյուր ընդհատում։

Սպասարկման պատուհանը, որը պահանջում է VPN-ի աշխատանքը՝ VPN-ը վերանորոգելու համար, սպասարկման պատուհան չէ։

Տեղափոխեք այն՝ առանց ձեզ դրսում փակելու

Եթե դերերն արդեն կիսում են մեկ տեղադրում, խուսափեք շտապ հեռավոր միգրացիայից։ Գույքագրեք, թե ինչ ունի դարպասը այսօր՝ հասցեներ, փոխանցման կանոններ, NAT, DNS կարգավորումներ, նույնականացման կոնֆիգուրացիա և ցանկացած հրապարակված ծառայություն։ Պատրաստեք և՛ փոխարինումը, և՛ վերադարձի ուղին նախքան լսորդը տեղափոխելը կամ լռելյայն երթուղին փոխելը։ Այնուհետև փորձարկեք սովորական հեռավոր օգտատիրոջ իրական աշխատանքը նոր սահմանով, և հաստատեք, որ անհարկի ադմինիստրատիվ հասանելիությունը դեռ ձախողվում է։

Նպատակը ավելի գեղեցիկ դիագրամ չէ։ Ամբողջ գրասենյակի գրացուցակի վստահությունը խարիսխող տուփին չդիպչելով VPN-ը վերանորոգելու կամ վերակառուցելու կարողությունն է։ Դրանք տարբեր նպատակներ են, և դրանցից միայն մեկն է երկրորդ սերվեր պահանջում։

Գրանցեք որոշումը ամեն դեպքում, ներառյալ այն պայմանները, որոնք կվերաբացեն այն։ Փոքր գրասենյակը աճում է, և մեկ սերվերի համար հարմար պատասխանը կարող է չհարմարվել հաջորդին։