სამუშაო ლეპტოპი პირად VPN-ში: რა გადადის სინამდვილეში

კომპანიის ლეპტოპის სახლის VPN-თან დაკავშირება მას ერთდროულად ორ ადგილას აყენებს, და საინტერესო კითხვა უფრო მცირე და სასარგებლოა, ვიდრე შემაშფოთებელი. არავის გაუყვანია Ethernet კაბელი ოფისსა და სახლს შორის, და არც ერთი მარშრუტი არ აქცევს სახლის ქსელს კორპორატიული ქვექსელის გაფართოებად. რაც არსებობს, არის ერთი ბოლო წერტილი ორივე გარემოზე წვდომით, და სამი ცალკე მექანიზმი წყვეტს, რა შეიძლება რეალურად გადაადგილდეს მათ შორის. ამ სამის გავლა ბოლო წერტილიდან გარეთ იძლევა პასუხს, რომელზეც ადმინისტრატორს შეუძლია იმოქმედოს, ეტიკეტებზე კამათის ნაცვლად.

დაიწყეთ ბოლო წერტილიდან, არა ქსელის სქემიდან

ბოლო წერტილი არის ადგილი, სადაც ორივე კავშირი ხვდება, ამიტომ იქიდან იწყება მიმოხილვა: რომელი პროცესები მუშაობს, რას შეუძლიათ მიაღწიონ და ვინ მართავს მათ. სქემა, რომელიც ლეპტოპთან დაკავშირებულ ორ ღრუბელს აჩვენებს, ზუსტი და უსარგებლოა, რადგან კავშირზე მიუთითებს, რომელიც შეიძლება არ არსებობდეს. შეცვალეთ ის აპლიკაციების სიით, რომლებსაც შეუძლიათ ყოველ გარემოსთან საუბარი, და ჩაწერეთ, რომელი ანგარიშით მუშაობს თითოეული. ეს ჩარჩო მიმოხილვას პროპორციულადაც ინახავს, რადგან ორი გვირაბის მქონე ლეპტოპი არ არის იგივე ობიექტი, რაც ორი დაკავშირებული ქსელი.

ეს სია არის ინვენტარი, საიდანაც დანარჩენი მიმოხილვა მუშაობს. თუ მასში არის სინქრონიზაციის კლიენტი, ორივე გარემოში შესული ბრაუზერის პროფილი და სერტიფიკატების მქონე აწყობის აგენტი, მიმოხილვას უკვე აქვს თავისი საგნები.

სამი გადაკვეთის წერტილი, ცალკე განხილული

აპლიკაციების წვდომა პირველი გადაკვეთის წერტილია და არანაირ გადამისამართებას არ საჭიროებს. ბოლო წერტილზე ბრაუზერის ჩანართს, სინქრონიზაციის კლიენტს ან აწყობის აგენტს შეუძლია ერთი გარემოს რესურსიდან წაიკითხოს და მონაცემები მეორე გარემოს რესურსს გაუგზავნოს. ეს შესაძლებლობა არსებობს იმის მიუხედავად, გადასცემს თუ არა ოპერაციული სისტემა პაკეტებს ინტერფეისებს შორის, და სწორედ ამ მექანიზმს გამოტოვებენ ადამიანები, როცა ასკვნიან, რომ ხიდის არარსებობა რისკის არარსებობას ნიშნავს. ამიტომ აპლიკაციების სიის კითხვა უფრო ინფორმაციულია, ვიდრე ინტერფეისების სიის კითხვა.

იდენტობა და მონაცემები მეორე გადაკვეთის წერტილს ქმნიან. კორპორატიული სერტიფიკატები, სესიის ქუქიები, ჩამოტვირთული დოკუმენტები და მართვის უფლებები ბოლო წერტილზე ცხოვრობს, და სხვა ქსელზე შეერთება თავისთავად არ ამჟღავნებს მათ. იცვლება იმ მხარეთა ნაკრები, რომლებსაც შეუძლიათ გავლენა მოახდინონ ბოლო წერტილზე, სანამ ის ინახავს ამ სერტიფიკატებს, და ეს პირადი ქსელის სანდოობის საკითხია და არა მარშრუტიზაციის. ეს არის გადაწყვეტილება, რომელსაც ბოლო წერტილის მფლობელი მარტო ვერ მიიღებს, და მასზე პასუხს არ იძლევა გადამისამართების წესის არარსებობა.

ქსელური გადამისამართება მესამეა და ერთადერთი, რომელსაც შეუძლია ლეპტოპი ტრანზიტულ მოწყობილობად აქციოს. IP გადამისამართება, ინტერნეტ კავშირის გაზიარება, პროქსი ან ხიდის ფუნქცია თითოეულს შეუძლია ამის გაკეთება, და თითოეული კონფიგურაციაა, რომელიც ან ჩართულია, ან არა. შეამოწმეთ ეს მდგომარეობა უშუალოდ, ნაცვლად იმისა, რომ VPN კლიენტის არსებობიდან გამოიტანოთ დასკვნა. მართულ მანქანაზე პასუხი ჩვეულებრივ არაა, და მისი გადამოწმება ვარაუდს ჩაწერის ღირს ფაქტად აქცევს.

ითხოვეთ ერთი რესურსი, არა ორი ქსელი

რეალური მოთხოვნების უმეტესობა უფრო ვიწროა, ვიდრე ერთი შეხედვით ჩანს: ერთი კონსოლი, ერთი ფაილის გაზიარება, ერთი შიდა ვებ აპლიკაცია. ჩამოაყალიბეთ მოთხოვნა ასე და მიეცით რესურსის მფლობელს გადაწყვიტოს, საერთოდ ეკუთვნის თუ არა ის ამ ბოლო წერტილს. ორი ქსელის გაერთიანებად ჩამოყალიბებული მოთხოვნის დამტკიცება ძნელია და უარყოფა ადვილი; ერთი დასახელებული სერვისის მოთხოვნას პასუხი აქვს.

თუ პასუხი დიახ არის, უპირატესობა მიანიჭეთ ყველაზე ვიწრო მხარდაჭერილ გზას და შეინარჩუნეთ ის ორგანიზაციის არსებული კონტროლის შიგნით. მართული მეორე პროფილი ან შეზღუდული მოცულობის აპლიკაციის ჩანაწერი ინარჩუნებს მონიტორინგს და პოლიტიკას; კონკურენტი პირადი კონფიგურაცია ჩუმად ცვლის მათ, და არავინ იცის, რომელი იმარჯვებს შემდეგი განახლების შემდეგ.

ჩართეთ DNS-ისა და მარშრუტების ეფექტები

სახელების გარჩევა იცვლება იმ წუთას, როცა მეორე პროფილი აქტიურია. პირად კლიენტს შეუძლია თავისი გამხსნელის თავს მოხვევა, ბრაუზერს შეუძლია საკუთარი დაშიფრული DNS-ის გამოყენება, და პოლიტიკის ცხრილს შეუძლია შიდა სახელები სხვა სერვერზე გაგზავნოს, ვიდრე კორპორატიული კონფიგურაცია მოელის. არც ერთი მათგანი გადამისამართებას არ საჭიროებს, და ნებისმიერს შეუძლია შიდა ჰოსტის სახელი არასწორ ადგილას გაგზავნოს.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

ჩაწერეთ ეს სამი გამოსავალი მეორე პროფილის შეერთებამდე და შემდეგ. მათ შორის სხვაობა ის ეფექტია, რომელიც რეალურად აღწევს მომხმარებლამდე, და ხშირად უფრო დიდია, ვიდრე ბილეთში აღწერილი მარშრუტიზაციის ცვლილება. შეინახეთ ორივე ჩანაწერი, რათა მოგვიანებით მიმომხილველმა დაინახოს, რა შეიცვალა და არა რა იყო განზრახული.

გადაამოწმეთ და შეინარჩუნეთ გასასვლელი

გამოსცადეთ დამტკიცებული აპლიკაცია რეალური პროცესიდან და მომხმარებლის კონტექსტიდან, და არა იმავე მანქანის ადმინისტრატორის გარსიდან. შემდეგ დაადასტურეთ, რომ დაუკავშირებელი დანიშნულებები მიუწვდომელი რჩება იქ, სადაც დიზაინი ამას მოითხოვს: საზღვარი, რომელიც არავის გამოუცდია, არის საზღვარი, რომელზეც ვერავინ იტყვის პრეტენზიას. პირადი გვირაბის გათიშებამ წინა მდგომარეობა უნდა აღადგინოს, და ეს აღდგენა ღირს შემოწმებად, სანამ ვინმე ჯერ კიდევ უყურებს.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-ის მითითებები ნულოვანი ნდობის არქიტექტურის შესახებ აქ სასარგებლოა, რადგან ის პოზიციას ქსელში ნდობის ავტომატურ წყაროდან აშორებს, და ეს სწორედ ის ვარაუდია, რომელიც განსახილველია. კითხვა არ არის, არის თუ არა სახლის ქსელი ბუნებით სანდო; კითხვაა, ვინ შეუძლია რომელ რესურსს მიაღწიოს, რომელი ბოლო წერტილიდან და რომელი აღსრულების წერტილით. უპასუხეთ ამ სამს, და შეინახეთ მტკიცებულებები გადაწყვეტილებასთან ერთად.