Աշխատանքային նոութբուքը անձնական VPN-ում. ինչ է իրականում անցնում

Ընկերության նոութբուքը տնային VPN-ին միացնելը դնում է այն միաժամանակ երկու տեղում, և հետաքրքիր հարցն ավելի փոքր ու օգտակար է, քան տագնապալիցը։ Ոչ ոք Ethernet մալուխ չի անցկացրել գրասենյակի և տան միջև, և ոչ մի երթուղի տնային ցանցը չի դարձնում կորպորատիվ ենթացանցի ընդլայնում։ Գոյություն ունի մեկ վերջնակետ՝ հասանելիությամբ երկու միջավայրերին, և երեք առանձին մեխանիզմներ որոշում են, թե ինչ կարող է իրականում շարժվել նրանց միջև։ Այս երեքի անցումը վերջնակետից դուրս տալիս է պատասխան, որի վրա ադմինիստրատորը կարող է գործել՝ պիտակների մասին վեճի փոխարեն։

Սկսեք վերջնակետից, ոչ թե ցանցի սխեմայից

Վերջնակետն այն տեղն է, որտեղ հանդիպում են երկու կապերը, ուստի այնտեղից է սկսվում վերանայումը՝ որ գործընթացներն են աշխատում, ինչի կարող են հասնել և ով է կառավարում դրանք։ Սխեման, որը ցույց է տալիս նոութբուքին միացված երկու ամպ, ճշգրիտ է և անօգուտ, որովհետև այն ենթադրում է կապ, որը գուցե չկա։ Փոխարինեք այն հավելվածների ցանկով, որոնք կարող են խոսել յուրաքանչյուր միջավայրի հետ, և նշեք, թե որ հաշվի ներքո է աշխատում յուրաքանչյուրը։ Այս շրջանակը նաև վերանայումը պահում է համաչափ, քանի որ երկու թունել ունեցող նոութբուքը նույն օբյեկտը չէ, ինչ միացված երկու ցանցերը։

Այդ ցանկը այն գույքացանկն է, որից աշխատում է վերանայման մնացած մասը։ Եթե այն պարունակում է համաժամեցման հաճախորդ, երկու միջավայրերում մուտք գործած դիտարկիչի պրոֆիլ և վկայագրերով կառուցման գործակալ, ապա վերանայումն արդեն ունի իր առարկաները։

Երեք հատման կետեր՝ դիտարկված առանձին

Հավելվածների հասանելիությունը առաջին հատման կետն է և որևէ փոխանցում չի պահանջում։ Վերջնակետի դիտարկիչի ներդիրը, համաժամեցման հաճախորդը կամ կառուցման գործակալը կարող են կարդալ մի միջավայրի ռեսուրսից և տվյալներ ուղարկել մյուսի ռեսուրսին։ Այդ հնարավորությունը գոյություն ունի անկախ նրանից՝ օպերացիոն համակարգը փոխանցո՞ւմ է փաթեթները միջերեսների միջև, թե ոչ, և հենց այդ մեխանիզմն են մարդիկ բաց թողնում, երբ եզրակացնում են, որ կամուրջ չկա նշանակում է ռիսկ չկա։ Ուստի հավելվածների ցանկը կարդալն ավելի տեղեկատվական է, քան միջերեսների ցանկը կարդալը։

Ինքնությունը և տվյալները կազմում են երկրորդ հատման կետը։ Կորպորատիվ վկայագրերը, սեսիայի քուքիները, ներբեռնված փաստաթղթերը և կառավարման իրավունքները ապրում են վերջնակետում, և այլ ցանցին միանալն ինքնին չի բացահայտում դրանք։ Փոխվում է այն կողմերի բազմությունը, որոնք կարող են ազդել վերջնակետի վրա, քանի դեռ այն պահում է այդ վկայագրերը, և սա անձնական ցանցի վստահելիության, ոչ թե երթուղավորման հարց է։ Սա դատողություն է, որը վերջնակետի սեփականատերը չի կարող միայնակ կայացնել, և դրան չի պատասխանում փոխանցման կանոնի բացակայությունը։

Ցանցային փոխանցումը երրորդն է և միակը, որը կարող է նոութբուքը դարձնել տրանզիտ սարք։ IP փոխանցումը, ինտերնետ կապի համօգտագործումը, պրոքսին կամ կամրջի ֆունկցիան կարող են դա անել, և յուրաքանչյուրը մի կարգավորում է, որը կամ միացված է, կամ ոչ։ Ստուգեք այդ վիճակն ուղղակիորեն՝ փոխարենը ենթադրելու VPN հաճախորդի առկայությունից։ Կառավարվող մեքենայում պատասխանը սովորաբար ոչ է, և դրա ստուգումը ենթադրությունը դարձնում է գրանցման արժանի փաստ։

Խնդրեք մեկ ռեսուրս, ոչ թե երկու ցանց

Իրական պահանջների մեծ մասն ավելի նեղ է, քան առաջին հայացքից թվում է՝ մեկ կոնսոլ, մեկ ֆայլային համօգտագործում, մեկ ներքին վեբ հավելված։ Ձևակերպեք պահանջն այդպես և թողեք ռեսուրսի սեփականատերը որոշի՝ արդյոք այն ընդհանրապես պատկանում է այս վերջնակետին։ Երկու ցանցերի միացումով ձևակերպված հարցումը դժվար է հաստատել և հեշտ մերժել. մեկ անվանված ծառայության հարցումը պատասխան ունի։

Եթե պատասխանը այո է, նախապատվություն տվեք ամենանեղ աջակցվող ուղուն և պահեք այն կազմակերպության առկա վերահսկողությունների ներսում։ Կառավարվող երկրորդ պրոֆիլը կամ սահմանափակ ծավալի հավելվածային գրառումը պահպանում են մոնիտորինգը և քաղաքականությունը. մրցակից անձնական կարգավորումը լուռ փոխարինում է դրանք, և ոչ ոք չգիտի, թե որն է հաղթում հաջորդ թարմացումից հետո։

Ներառեք DNS-ի և երթուղիների ազդեցությունները

Անունների լուծումը փոխվում է այն պահին, երբ երկրորդ պրոֆիլն ակտիվ է։ Անձնական հաճախորդը կարող է պարտադրել իր լուծիչը, դիտարկիչը կարող է օգտագործել իր գաղտնագրված DNS-ը, և քաղաքականության աղյուսակը կարող է ներքին անունները ուղղել այլ սպասարկիչի, քան սպասում է կորպորատիվ կարգավորումը։ Դրանցից ոչ մեկը փոխանցում չի պահանջում, և ցանկացածը կարող է ներքին հոսթի անունը ուղարկել սխալ տեղ։

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Գրանցեք այդ երեք ելքերը մինչև երկրորդ պրոֆիլի միանալը և դրանից հետո։ Նրանց միջև տարբերությունն այն ազդեցությունն է, որն իրականում հասնում է օգտատիրոջը, և այն հաճախ ավելի մեծ է, քան տոմսում նկարագրված երթուղավորման փոփոխությունը։ Պահպանեք երկու գրառումները, որպեսզի ավելի ուշ վերանայողը տեսնի, թե ինչ փոխվեց, այլ ոչ թե ինչ էր նախատեսված։

Ստուգեք և պահեք ելքի ուղի

Փորձարկեք հաստատված հավելվածը իրական գործընթացից և օգտատիրոջ համատեքստից, ոչ թե նույն մեքենայի ադմինիստրատորի shell-ից։ Այնուհետև հաստատեք, որ անկապ նպատակակետերը մնում են անհասանելի այնտեղ, որտեղ դա պահանջում է նախագիծը. սահման, որը ոչ ոք չի փորձարկել, սահման է, որի վրա ոչ ոք չի կարող հղվել։ Անձնական թունելի անջատումը պետք է վերականգնի նախորդ վիճակը, և այդ վերականգնումը արժե ստուգել, քանի դեռ ինչ-որ մեկը դեռ նայում է։

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-ի ուղեցույցը զրոյական վստահության ճարտարապետության մասին օգտակար է այստեղ, քանի որ այն հեռացնում է ցանցային դիրքը որպես վստահության ավտոմատ աղբյուր, և դա հենց այն ենթադրությունն է, որ քննարկվում է։ Հարցը ոչ թե այն է՝ արդյոք տնային ցանցը բնույթով վստահելի է, այլ այն է՝ ով կարող է հասնել որ ռեսուրսի, որ վերջնակետից և որ կիրառման կետով։ Պատասխանեք այս երեքին և պահեք ապացույցները որոշման հետ միասին։