Шағын кеңсе VPN: оны домен контроллерінен бөлек ұстаңыз

Кеңсенің жалғыз Windows сервері VPN-ды да тоқтатуы керек пе, оны үш шарт шешеді: каталогта интернетке бағытталған қанша бағдарламалық жасақтама жүргізуге дайынсыз, сол рөлсіз қашықтағы пайдаланушыларды аутентификациялай аласыз ба, және хост қайта жүктелгенде басқару рұқсатыңызға не болады. Үшеуінің біреуінің жауабы жаман болса, рөлдерді бөліңіз. Кеңсенің шағын болуы бюджетті өзгертеді, қауіпті емес.

Домендегі әрбір машина домен контроллеріне сенеді; VPN шлюзіне интернеттегі кез келген адам жете алады. Бұл асимметрия — бүкіл дәлел.

Екі түрлі әсер ету профилі бар екі жұмыс

Шлюз сырттан қосылымдарды қабылдайды, сондықтан оның тыңдаушысы, TLS стекі және аутентификация беті сенімсіз желілерден қолжетімді. Каталог басқа машиналар сенетін билікті ұстайды, сондықтан Microsoft-тың қатайту нұсқаулығы домен контроллерінің рөлін және оның хостинг ортасын ерекше сезімтал деп қарайды. Осы хостқа қосылған әрбір қызмет каталогтың сенім ұстанымын мұралайды және өзінің шабуыл бетін қосады. Орнатудың қолайлылығы сенім шекарасы емес.

Рөлдерді бөлу тәуелділіктерді жоймайды. Қашықтағы пайдаланушыларға әлі де аутентификация, маршруттар, DNS және қатынау ережелері керек, ал оларды өткізіп жіберетін шлюз қауіпсіз емес, тек пайдалырақ емес.

Каталог рөлінсіз аутентификация

Шлюз қолдау көрсетілетін сыртқы интеграция арқылы каталогтың өзін хостингтеусіз тіркелгі деректерін тексере алады. Бұл интеграция қандай болса да, оған мақсатқа сай құқықтары бар тіркелгі беріңіз: аутентификация үшін қажет атрибуттарды оқу, одан артық емес. VPN пайдаланушыларын қабылдау олардың қарапайым тіркелгілерін домен әкімшілері етуді ешқашан талап етпейді және шлюздің каталог көшірмесін ұстауын ешқашан талап етпейді.

Содан кейін қашықтағы клиентке шынымен қажет желілік жолдарды шектеңіз. Бір ішкі файл қызметіне қатынау, сонымен қатар осы жұмыс ағыны тәуелді атауларды шешу және сәйкестендіру қызметтері — анықталған жолдар жиынтығы. Бұл VPN пулынан домен контроллерінің әрбір портын немесе әрбір әкімшілік интерфейсін рұқсат етуге себеп емес.

Бір хост әлі де бір ақау домені

Бір гипервизордағы екі қонақ операциялық жүйе конфигурациясын бөледі, бірақ тағдырын бөлмейді. Гипервизор әкімшілері, виртуалды коммутация, сақтау және резервтік көшірмелер дизайнның бөлігі болып қалады, ал хостты қайта жүктеу екі қызметті бірден жояды. Диаграммада екі VM көрсетілгендіктен мұны жоғары қолжетімділік деп атау жиі және қымбат қате. Егер қайта оралудың жалғыз жолы сол хосттағы VPN арқылы өтсе, ақау оны жөндеуге қажет қосылымнан айырады.

Сондықтан туннельге тәуелді емес дербес басқару жолын жоспарлаңыз және техникалық қызмет көрсету кезінде не қолжетімді болып қалатынын жазыңыз. Шлюз жаңартулары мен каталогқа қызмет көрсетуді бөлек жоспарлап, әрбір үзіліс қандай пайдаланушыларға немесе қолданбаларға әсер ететінін белгілеңіз.

VPN-ды жөндеу үшін VPN қосулы болуын талап ететін техникалық қызмет көрсету терезесі техникалық қызмет көрсету терезесі емес.

Өзіңізді құлыптамай жылжытыңыз

Егер рөлдер бір орнатуды бөліссе, асығыс қашықтан көшіруден аулақ болыңыз. Шлюз бүгін иеленетін нәрселерді түгендеңіз: мекенжайлар, қайта бағыттау ережелері, NAT, DNS параметрлері, аутентификация конфигурациясы және кез келген жарияланған қызметтер. Тыңдаушыны жылжытудан немесе әдепкі маршрутты өзгертуден бұрын ауыстырғышты да, қайта оралу жолын да дайындаңыз. Содан кейін қарапайым қашықтағы пайдаланушының нақты жұмысын жаңа шекара арқылы сынап, қажетсіз әкімшілік қатынаудың әлі де сәтсіз болатынын растаңыз.

Мақсат әдемірек диаграмма емес. Бүкіл кеңсе үшін каталог сенімін бекітетін қорапқа тимей-ақ VPN-ды жөндеу немесе қайта құру қабілеті. Бұлар әртүрлі мақсаттар және олардың тек біреуіне екінші сервер қажет.

Шешімді қалай болса да жазып қойыңыз, оны қайта ашатын шарттарды қоса. Шағын кеңсе өседі, ал бір серверге сәйкес келген жауап келесіге сәйкес келмеуі мүмкін.