Laptop kerja di VPN pribadi: apa yang sebenarnya melintas

Menghubungkan laptop perusahaan ke VPN rumah menempatkannya di dua tempat sekaligus, dan pertanyaan yang menarik lebih kecil serta lebih berguna daripada yang mengkhawatirkan. Tidak ada yang menarik kabel Ethernet antara kantor dan rumah, dan tidak ada rute yang membuat jaringan rumah menjadi perpanjangan subnet perusahaan. Yang ada adalah satu titik akhir dengan akses ke kedua lingkungan, dan tiga mekanisme terpisah menentukan apa yang benar-benar dapat berpindah di antaranya. Menelusuri ketiganya, dari titik akhir ke luar, menghasilkan jawaban yang dapat ditindaklanjuti administrator alih-alih perdebatan tentang label.

Mulai dari titik akhir, bukan dari diagram jaringan

Titik akhir adalah tempat kedua koneksi bertemu, jadi di sanalah tinjauan dimulai: proses apa yang berjalan, apa yang dapat mereka jangkau, dan siapa yang mengendalikannya. Diagram yang menunjukkan dua awan terhubung ke laptop akurat dan tidak membantu, karena menyiratkan tautan yang mungkin tidak ada. Gantikan dengan daftar aplikasi yang dapat berbicara dengan setiap lingkungan, dan catat akun mana yang menjalankan masing-masing. Kerangka itu juga menjaga tinjauan tetap proporsional, karena laptop dengan dua tunnel bukan objek yang sama dengan dua jaringan yang disatukan.

Daftar itu adalah inventaris tempat sisa tinjauan bekerja. Jika berisi klien sinkronisasi, profil peramban yang masuk ke kedua lingkungan, dan agen build dengan kredensial, tinjauan sudah memiliki subjeknya.

Tiga titik lintasan, ditinjau secara terpisah

Akses aplikasi adalah titik lintasan pertama, dan tidak memerlukan penerusan apa pun. Tab peramban, klien sinkronisasi, atau agen build di titik akhir dapat membaca dari sumber daya di satu lingkungan dan mengirim data ke sumber daya di lingkungan lain. Kemampuan itu ada terlepas dari apakah sistem operasi meneruskan paket antar antarmuka, dan itulah mekanisme yang orang lewatkan ketika mereka menyimpulkan bahwa tidak ada jembatan berarti tidak ada risiko. Karena itu membaca daftar aplikasi lebih informatif daripada membaca daftar antarmuka.

Identitas dan data membentuk titik lintasan kedua. Kredensial korporat, cookie sesi, dokumen yang diunduh, dan hak pengelolaan berada di titik akhir, dan bergabung ke jaringan lain tidak mengungkapkannya dengan sendirinya. Yang berubah adalah kumpulan pihak yang dapat memengaruhi titik akhir selama ia menyimpan kredensial tersebut, dan itu pertanyaan tentang keandalan jaringan pribadi, bukan tentang perutean. Itu penilaian yang tidak dapat dibuat pemilik titik akhir sendirian, dan tidak dijawab oleh tidak adanya aturan penerusan.

Penerusan jaringan adalah yang ketiga, dan satu-satunya yang dapat mengubah laptop menjadi perangkat transit. Penerusan IP, berbagi koneksi internet, proxy, atau fitur jembatan masing-masing dapat melakukannya, dan masing-masing adalah konfigurasi yang entah aktif atau tidak. Periksa keadaan itu secara langsung alih-alih menyimpulkannya dari keberadaan klien VPN. Pada mesin terkelola jawabannya biasanya tidak, dan memverifikasinya mengubah asumsi menjadi fakta yang layak dicatat.

Minta satu sumber daya, bukan dua jaringan

Sebagian besar kebutuhan nyata lebih sempit daripada yang terlihat pada awalnya: satu konsol, satu berbagi berkas, satu aplikasi web internal. Nyatakan kebutuhan dengan cara itu dan biarkan pemilik sumber daya memutuskan apakah itu memang termasuk di titik akhir ini. Permintaan yang dirumuskan sebagai penyatuan dua jaringan sulit disetujui dan mudah ditolak; permintaan untuk satu layanan bernama punya jawaban.

Jika jawabannya ya, utamakan jalur terdukung yang paling sempit dan pertahankan di dalam kontrol organisasi yang sudah ada. Profil kedua terkelola atau entri aplikasi berlingkup terbatas mempertahankan pemantauan dan kebijakan; konfigurasi pribadi yang bersaing diam-diam menggantikannya, dan tidak ada yang tahu mana yang menang setelah pembaruan berikutnya.

Sertakan efek DNS dan rute

Resolusi nama berubah pada saat profil kedua aktif. Klien pribadi dapat memaksakan resolver sendiri, peramban dapat memakai DNS terenkripsi sendiri, dan tabel kebijakan dapat mengarahkan nama internal ke server yang berbeda dari yang diharapkan konfigurasi korporat. Tidak ada satu pun yang memerlukan penerusan, dan salah satunya dapat mengirim nama host internal ke tempat yang salah.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Tangkap ketiga keluaran itu sebelum dan sesudah profil kedua terhubung. Selisih di antaranya adalah efek yang benar-benar sampai ke pengguna, dan sering kali lebih besar daripada perubahan perutean yang dijelaskan tiket. Simpan kedua tangkapan agar peninjau berikutnya melihat apa yang berubah, bukan apa yang dimaksudkan.

Verifikasi dan pertahankan jalan keluar

Uji aplikasi yang disetujui dari proses dan konteks pengguna yang sebenarnya, bukan dari shell administrator di mesin yang sama. Lalu pastikan tujuan yang tidak terkait tetap tidak terjangkau di tempat desain menuntutnya: batas yang tidak diuji siapa pun adalah batas yang tidak dapat diklaim siapa pun. Memutus tunnel pribadi seharusnya memulihkan keadaan sebelumnya, dan pemulihan itu layak diperiksa selama masih ada yang mengawasi.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Panduan NIST tentang arsitektur tanpa kepercayaan berguna di sini karena menghapus lokasi jaringan sebagai sumber kepercayaan otomatis, yang justru merupakan asumsi yang dipersoalkan. Pertanyaannya bukan apakah jaringan rumah dapat dipercaya secara alami; melainkan siapa yang dapat mencapai sumber daya mana, dari titik akhir mana, melalui titik penegakan mana. Jawab ketiganya, dan simpan bukti bersama keputusan.