მცირე ოფისის VPN: შეინახეთ ის დომენის კონტროლერისგან მოშორებით

სამი პირობა წყვეტს, უნდა დაასრულოს თუ არა ოფისის ერთადერთმა Windows სერვერმა VPN-იც: რამდენი ინტერნეტისკენ მიმართული პროგრამული უზრუნველყოფის გაშვებას ხართ მზად დირექტორიაზე, შეგიძლიათ თუ არა დისტანციური მომხმარებლების ავთენტიფიკაცია ამ როლის გარეშე, და რა ემართება თქვენს ადმინისტრაციულ წვდომას, როცა ჰოსტი გადაიტვირთება. თუ სამიდან რომელიმეს ცუდი პასუხი აქვს, გაყავით როლები. ოფისის პატარა ზომა ბიუჯეტს ცვლის, არა რისკს.

დომენის ყველა მანქანა ენდობა დომენის კონტროლერს; VPN-ის კარიბჭე ინტერნეტში ნებისმიერისთვის ხელმისაწვდომია. ეს ასიმეტრია მთელი არგუმენტია.

ორი სამუშაო ორი განსხვავებული გამოვლენის პროფილით

კარიბჭე გარედან იღებს კავშირებს, ამიტომ მისი მსმენელი, TLS-ის სტეკი და ავთენტიფიკაციის ზედაპირი ყველა მიუმხრობელი ქსელებიდან ხელმისაწვდომია. დირექტორია ფლობს უფლებამოსილებას, რომელსაც სხვა მანქანები ენდობიან, ამიტომ Microsoft-ის გამაგრების სახელმძღვანელო დომენის კონტროლერის როლს და მის ჰოსტინგის გარემოს განსაკუთრებით მგრძნობიარედ განიხილავს. ამ ჰოსტზე დამატებული ყოველი სერვისი მემკვიდრეობით იღებს დირექტორიის ნდობის პოზიციას და ამატებს საკუთარ შეტევის ზედაპირს. ინსტალაციის მოხერხებულობა ნდობის საზღვარი არ არის.

როლების გაყოფა არ აუქმებს დამოკიდებულებებს. დისტანციურ მომხმარებლებს კვლავ სჭირდებათ ავთენტიფიკაცია, მარშრუტები, DNS და წვდომის წესები, და კარიბჭე, რომელიც მათ გამოტოვებს, უფრო უსაფრთხო არ არის, უბრალოდ ნაკლებად სასარგებლო.

ავთენტიფიკაცია დირექტორიის როლის გარეშე

კარიბჭეს შეუძლია დაშვებების შემოწმება მხარდაჭერილი გარე ინტეგრაციით, თავად დირექტორიის ჰოსტინგის გარეშე. რაც არ უნდა იყოს ეს ინტეგრაცია, მიეცით მას ანგარიში, რომლის უფლებებიც მიზანს შეესაბამება: ავთენტიფიკაციისთვის საჭირო ატრიბუტების კითხვა, მეტი არაფერი. VPN მომხმარებლების დაშვება არასოდეს მოითხოვს მათი ჩვეულებრივი ანგარიშების დომენის ადმინისტრატორებად გადაქცევას და არასოდეს მოითხოვს, რომ კარიბჭემ დირექტორიის ასლი შეინახოს.

შემდეგ შეზღუდეთ ქსელური გზები, რომლებიც დისტანციურ კლიენტს ნამდვილად სჭირდება. წვდომა ერთ შიდა ფაილურ სერვისზე, პლუს სახელების გარჩევისა და იდენტობის სერვისები, რომლებზეც ეს სამუშაო ნაკადია დამოკიდებული, განსაზღვრული გზების ნაკრებია. ეს არ არის მიზეზი VPN-ის აუზიდან დომენის კონტროლერის ყველა პორტის ან ყველა ადმინისტრაციული ინტერფეისის დასაშვებად.

ერთი ჰოსტი კვლავ ერთი წარუმატებლობის დომენია

ორი სტუმარი ერთ ჰიპერვიზორზე ჰყოფს მათ ოპერაციული სისტემის კონფიგურაციას და არ ჰყოფს მათ ბედს. ჰიპერვიზორის ადმინისტრატორები, ვირტუალური გადართვა, საცავი და სარეზერვო ასლები დიზაინის ნაწილად რჩება, და ჰოსტის გადატვირთვა ორივე სერვისს ერთდროულად აშორებს. ამას მაღალი ხელმისაწვდომობის დარქმევა იმიტომ, რომ დიაგრამაზე ორი VM ჩანს, გავრცელებული და ძვირადღირებული შეცდომაა. თუ დაბრუნების ერთადერთი გზა ამ ჰოსტის VPN-ზე გადის, წარუმატებლობა ართმევს მის შესაკეთებლად საჭირო კავშირს.

ამიტომ დაგეგმეთ დამოუკიდებელი მართვის გზა, რომელიც გვირაბზე არ არის დამოკიდებული, და ჩაწერეთ, რა რჩება ხელმისაწვდომი ტექნიკური მომსახურების დროს. დაგეგმეთ კარიბჭის განახლებები და დირექტორიის მოვლა ცალ-ცალკე, აღნიშნეთ, რომელ მომხმარებლებს ან აპლიკაციებს ეხება ყოველი შეწყვეტა.

ტექნიკური მომსახურების ფანჯარა, რომელიც მოითხოვს VPN-ის ჩართულობას VPN-ის შესაკეთებლად, არ არის ტექნიკური მომსახურების ფანჯარა.

გადაიტანეთ ისე, რომ თავი არ ჩაკეტოთ გარეთ

თუ როლები უკვე იზიარებენ ერთ ინსტალაციას, მოერიდეთ ნაჩქარევ დისტანციურ მიგრაციას. აღწერეთ, რას ფლობს კარიბჭე დღეს: მისამართები, გადაგზავნის წესები, NAT, DNS პარამეტრები, ავთენტიფიკაციის კონფიგურაცია და ნებისმიერი გამოქვეყნებული სერვისი. მოამზადეთ როგორც ჩამნაცვლებელი, ისე დაბრუნების გზა, სანამ მსმენელს გადაიტანთ ან ნაგულისხმევ მარშრუტს შეცვლით. შემდეგ გამოსცადეთ ჩვეულებრივი დისტანციური მომხმარებლის რეალური სამუშაო ახალი საზღვრის გავლით და დაადასტურეთ, რომ ზედმეტი ადმინისტრაციული წვდომა კვლავ ვერ გადის.

მიზანი უფრო ლამაზი დიაგრამა არ არის. ეს არის VPN-ის შეკეთების ან ხელახლა აგების უნარი იმ ყუთზე შეხების გარეშე, რომელიც მთელი ოფისის დირექტორიის ნდობას ამაგრებს. ეს სხვადასხვა მიზნებია და მხოლოდ ერთ მათგანს სჭირდება მეორე სერვერი.

ჩაწერეთ გადაწყვეტილება ყველა შემთხვევაში, მათ შორის პირობები, რომლებიც მას ხელახლა გახსნიდა. პატარა ოფისი იზრდება და ერთ სერვერზე მორგებული პასუხი შეიძლება არ მოერგოს შემდეგს.