Vinnufartölva á eigin VPN: hvað fer í raun yfir

Að tengja fyrirtækisfartölvu við heima-VPN setur hana á tvo staði á sama tíma, og áhugaverða spurningin er minni og nytsamlegri en sú alarmerandi. Enginn lagði Ethernet-kaðal milli skrifstofunnar og heimilisins, og engin leið gerir heimanetið að framlengingu fyrirtækisundirnetsins. Það sem er til er einn endapunktur með aðgang að báðum umhverfum, og þrír aðskildir ferlar ákveða hvað getur raunverulega færst milli þeirra. Að ganga í gegnum þessa þrjá, frá endapunktinum og út, gefur svar sem stjórnandi getur brugðist við í stað umræðu um merkingar.

Byrjaðu á endapunktinum, ekki netteikningunni

Endapunkturinn er staðurinn þar sem bæði tengingin mætast, svo þar hefst yfirferðin: hvaða ferlar keyra, hvað þeir geta náð til og hver stýrir þeim. Teikning sem sýnir tvö ský tengd fartölvu er nákvæm og gagnslaus, því hún gefur í skyn tengingu sem kann að vera ekki til. Skiptu henni út fyrir lista yfir þau forrit sem geta talað við hvert umhverfi, og skráðu hvaða reikningur hvert þeirra keyrir undir. Þessi rammi heldur yfirferðinni einnig í hlutfalli, því fartölva með tvö göng er ekki sami hlutur og tvö tengd net.

Sá listi er skráin sem afgangur yfirferðarinnar vinnur út frá. Ef hann inniheldur samstillingarforrit, vafrasnið sem er skráð inn í bæði umhverfin og byggingarþjón með skírteinum, hefur yfirferðin þegar sína viðföng.

Þrír yfirferðarstaðir, skoðaðir hver fyrir sig

Aðgangur forrita er fyrsti yfirferðarstaðurinn, og hann krefst engrar framsendingar. Vafraflipa, samstillingarforrit eða byggingarþjónn á endapunktinum getur lesið úr auðlind í einu umhverfi og sent gögn á auðlind í hinu. Þessi geta er til óháð því hvort stýrikerfið sendir pakka milli viðmóta, og það er einmitt ferlið sem fólk missir af sér þegar það ályktar að engin brú þýði enga áhættu. Þess vegna er meira upplýsandi að lesa listann yfir forrit en listann yfir viðmót.

Sjálfsmynd og gögn mynda annan yfirferðarstaðinn. Fyrirtækjaskírteini, setukökur, niðurhluð skjöl og stjórnarréttindi búa á endapunktinum, og að tengjast öðru neti afhjúpar þau ekki af sjálfu sér. Það sem breytist er mengi þeirra aðila sem gætu haft áhrif á endapunktinn meðan hann heldur þessum skírteinum, og það er spurning um áreiðanleika einkanetsins frekar en um leiðsögn. Þetta er mat sem eigandi endapunktsins getur ekki gert einn, og það er ekki svarað með því að framsendingarregla vanti.

Nettframsending er þriðja og sú eina sem getur gert fartölvuna að gegnumgangstæki. IP-framsending, deiling nettengingar, umboðsþjónn eða brúareiginleiki geta hvert um sig gert það, og hvert þeirra er stilling sem annaðhvort er virk eða ekki. Skoðaðu það ástand beint í stað þess að álykta það af nærveru VPN-biðlara. Á stýrðri vél er svarið yfirleitt nei, og að sannprófa það gerir forsendu að staðreynd sem vert er að skrá.

Biddu um eina auðlind, ekki tvö net

Flestar raunverulegar kröfur eru þrengri en þær virðast í fyrstu: ein stjórnborð, ein skráardeiling, eitt innra vefforrit. Orðaðu kröfuna þannig og láttu eiganda auðlindarinnar ákveða hvort hún eigi yfirhöfuð heima á þessum endapunkti. Beiðni sem orðuð er sem sameining tveggja neta er erfið að samþykkja og auðveld að synja; beiðni um eina nafngreinda þjónustu hefur svar.

Ef svarið er já, veldu þrengstu studdu leiðina og haltu henni innan núverandi eftirlits fyrirtækisins. Stýrt annað snið eða forritafærsla með takmörkuðu umfangi varðveitir eftirlit og stefnu; samkeppnishæf einkastilling kemur í þeirra stað hljóðlega, og enginn veit hvor vinnur eftir næstu uppfærslu.

Hafðu DNS- og leiðaráhrif með

Nafnaupplausn breytist um leið og annað snið er virkt. Einkabiðlari getur þrýst upp eigin upplausnaraðila, vafri getur notað eigið dulkóðað DNS, og stefnutafla getur beint innri nöfnum á annan þjón en fyrirtækjastillingin á von á. Ekkert þessara krefst framsendingar, og hvert þeirra getur sent innra hýsilnafn á rangann stað.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Skráðu þessi þrjú úttök fyrir og eftir að annað sniðið tengist. Munurinn á þeim er áhrifin sem raunverulega ná til notandans, og hann er oft meiri en leiðarbreytingin sem miðinn lýsir. Geymdu báðar skráningarnar svo síðari yfirferðarmaður sjái hvað breyttist, en ekki hvað var ætlað.

Sannprófaðu og haltu útgönguleið

Prófaðu samþykkta forritið úr raunverulega ferlinu og notandaaðstæðum, ekki úr stjórnandaskel á sömu vél. Staðfestu síðan að ótengdir áfangastaðir séu áfram óaðgengilegir þar sem hönnunin krefst þess: mörk sem enginn prófaði eru mörk sem enginn getur vísað til. Að aftengja einkagöngin ætti að endurreisa fyrra ástand, og þá endurreisn er vert að athuga meðan einhver er enn að horfa.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Leiðbeiningar NIST um núlltraustarkitektúr eru gagnlegar hér því þær fjarlægja staðsetningu í neti sem sjálfvirka uppsprettu trausts, sem er einmitt forsendan sem er til umræðu. Spurningin er ekki hvort heimanetið sé áreiðanlegt í eðli sínu; heldur hver getur náð til hvaða auðlindar, frá hvaða endapunkti og í gegnum hvaða framkvæmdarstað. Svaraðu þessum þremur og geymdu sannanirnar með ákvörðuninni.