VPN fyrir litla skrifstofu: haltu því frá lénsstjóranum

Þrjú skilyrði ráða því hvort eina Windows-þjónn skrifstofunnar eigi líka að ljúka VPN: hversu mikið internetssnúið hugbúnaður þú ert tilbúinn að keyra á skránni, hvort þú getur staðfest fjartengda notendur án þess hlutverks, og hvað verður um stjórnunaraðganginn þinn þegar hýsillinn endurræsist. Ef eitthvað af þremur hefur slæmt svar, aðskildu hlutverkin. Það að skrifstofan er lítil breytir fjárhagsáætluninni, ekki áhættunni.

Hver vél í léninu treystir lénsstjóra; VPN-gátt er aðgengileg hverjum sem er á internetinu. Þetta misræmi er öll röksemdin.

Tvö störf með tvö mismunandi útsetningarprófíl

Gáttin tekur við tengingum utan frá, svo hlustandinn, TLS-stakkurinn og staðfestingarflöturinn eru allir aðgengilegir frá ótraustum netum. Skráin hefur vald sem aðrar vélar treysta, þess vegna meðhöndla herðingarleiðbeiningar Microsoft hlutverk lénsstjórans og hýsingarumhverfi hans sem sérstaklega viðkvæm. Sérhver þjónusta sem bætt er við þann hýsil erfir trauststöðu skrárinnar og bætir við eigin árásarflöt. Þægindi uppsetningar eru ekki traustmörk.

Að aðskilja hlutverkin fjarlægir ekki háðina. Fjartengdir notendur þurfa enn staðfestingu, slóðir, DNS og aðgangsreglur, og gátt sem sleppir þeim er ekki öruggari, bara minna gagnleg.

Staðfesting án hlutverks skrárinnar

Gátt getur staðfest skírteini í gegnum studda ytri samþættingu án þess að hýsa skrána sjálfa. Hver sem samþættingin er, gefðu henni reikning sem réttindin passa við tilganginn: lesa eiginleikana sem þarf til staðfestingar, ekkert meira. Að hleypa VPN-notendum krefst aldrei þess að venjulegir reikningar þeirra verði lénsstjórar, og krefst aldrei þess að gáttin haldi afriti af skránni.

Takmarkaðu síðan netbrautirnar sem fjartengdi biðlarinn þarf í raun. Aðgangur að einni innri skráaþjónustu, auk nafnupplausnar- og auðkennisþjónustna sem þetta vinnuflæði byggir á, er skilgreint safn brauta. Það er ekki ástæða til að leyfa hverja höfn lénsstjórans eða hvert stjórnunartengi úr VPN-safninu.

Einn hýsill er enn einn bilunarléna

Tveir gestir á einum sýndarvélahýsli aðskilja stýrikerfisstillingar sínar og aðskilja ekki örlög sín. Stjórnendur sýndarvélahýsilsins, sýndarrofi, geymsla og öryggisafrit eru áfram hluti hönnunarinnar, og endurræsing hýsilsins fjarlægir báðar þjónusturnar í einu. Að kalla það háa framboð vegna þess að skýringarmyndin sýnir tvær VM er algeng og dýr mistök. Ef eina leiðin til baka liggur í gegnum VPN á þeim hýsli tekur bilun tenginguna sem þarf til að laga hana.

Skipuleggðu því óháða stjórnunarslóð sem er ekki háð göngunni, og skrifaðu niður hvað verður áfram aðgengilegt meðan á viðhaldi stendur. Tímasetjið uppfærslur gáttarinnar og viðhald skrárinnar sér, og takið fram hvaða notendur eða forrit hvert truflun snertir.

Viðhaldsgluggi sem krefst þess að VPN sé í gangi til að laga VPN er ekki viðhaldsgluggi.

Færðu það án þess að loka þér úti

Ef hlutverkin deila þegar einni uppsetningu, forðist flýtilega fjartengda flutninga. Taktu lista yfir það sem gáttin á í dag: vistföng, framsendingarreglur, NAT, DNS-stillingar, staðfestingarstillingar og allar birtar þjónustur. Undirbúðu bæði staðgengilinn og leið til baka áður en þú færir hlustandann eða breytir sjálfgefinni slóð. Prófaðu síðan raunveruleg störf venjulegs fjartengds notanda í gegnum nýju mörkin, og staðfestu að óþarfur stjórnunaraðgangur mistakist enn.

Markmiðið er ekki fallegri skýringarmynd. Það er hæfileikinn að laga eða endurbyggja VPN án þess að snerta kassann sem festir traust skrárinnar fyrir alla skrifstofuna. Þetta eru mismunandi markmið, og aðeins eitt þeirra þarf annan þjón.

Skráðu ákvörðunina hvort sem er, þar á meðal skilyrðin sem myndu opna hana aftur. Lítil skrifstofa stækkar, og svarið sem passaði við einn þjón passar kannski ekki við þann næsta.