Жұмыс ноутбугы жеке VPN-де: шын мәнінде не өтеді

Компания ноутбугын үй VPN-іне қосу оны бір уақытта екі жерге орналастырады, ал қызықты сұрақ алаңдатарлық сұрақтан кішірек және пайдалырақ. Ешкім кеңсе мен үй арасында Ethernet кабелін тартпаған, және ешқандай маршрут үй желісін корпоративтік қосымша желінің ұзартпасына айналдырмайды. Бар нәрсе — екі ортаға да қолжетімділігі бар бір соңғы нүкте, ал олардың арасында шын мәнінде ненің жылжи алатынын үш жеке механизм шешеді. Осы үшеуін соңғы нүктеден сыртқа қарай жүріп өту белгілер туралы пікірталастың орнына әкімші әрекет ете алатын жауап береді.

Желі схемасынан емес, соңғы нүктеден бастаңыз

Соңғы нүкте — екі қосылым түйісетін жер, сондықтан шолу сол жерден басталады: қандай процестер жұмыс істейді, олар неге жете алады және оларды кім басқарады. Ноутбукке қосылған екі бұлтты көрсететін схема дәл және пайдасыз, өйткені ол болмауы мүмкін байланысты меңзейді. Оның орнына әр ортамен сөйлесе алатын қолданбалардың тізімін қойыңыз және әрқайсысы қай тіркелгіде жұмыс істейтінін жазыңыз. Бұл шеңбер шолуды шамалас ұстайды, өйткені екі туннелі бар ноутбук қосылған екі желімен бірдей нысан емес.

Бұл тізім — шолудың қалған бөлігі сүйенетін түгендеу. Егер онда синхрондау клиенті, екі ортаға да кірген браузер профилі және тіркелгі деректері бар құрастыру агенті болса, шолудың тақырыптары әлдеқашан бар.

Үш өткел нүктесі, бөлек қарастырылған

Қолданбаларға қолжетімділік — бірінші өткел нүктесі және ол ешқандай бағыттауды қажет етпейді. Соңғы нүктедегі браузер қойындысы, синхрондау клиенті немесе құрастыру агенті бір ортаның ресурсынан оқып, басқа ортаның ресурсына деректер жібере алады. Бұл мүмкіндік операциялық жүйе интерфейстер арасында пакеттерді бағыттайтынына қарамастан бар, және адамдар көпір жоқ болса тәуекел де жоқ деген қорытындыға келгенде назардан тыс қалдыратын механизм дәл осы. Сондықтан интерфейстер тізімін оқығаннан гөрі қолданбалар тізімін оқу ақпараттырақ.

Сәйкестік пен деректер екінші өткел нүктесін құрайды. Корпоративтік тіркелгі деректері, сессия cookie файлдары, жүктелген құжаттар және басқару құқықтары соңғы нүктеде тұрады, ал басқа желіге қосылу оларды өздігінен ашпайды. Өзгеретіні — сол тіркелгі деректерін ұстап тұрған кезде соңғы нүктеге әсер ете алатын тараптар жиынтығы, бұл бағыттау туралы емес, жеке желінің сенімділігі туралы сұрақ. Бұл соңғы нүкте иесі жалғыз қабылдай алмайтын шешім, және оған бағыттау ережесінің болмауы жауап бермейді.

Желілік бағыттау — үшіншісі және ноутбукты транзиттік құрылғыға айналдыра алатын жалғыз механизм. IP бағыттау, интернет қосылымын бөлісу, прокси немесе көпір функциясы мұны жасай алады, және әрқайсысы қосылған немесе қосылмаған конфигурация. Бұл күйді VPN клиентінің болуынан болжамай, тікелей тексеріңіз. Басқарылатын машинада жауап әдетте жоқ, ал оны тексеру болжамды жазуға тұрарлық фактіге айналдырады.

Екі желі емес, бір ресурс сұраңыз

Нақты талаптардың көбісі бір қарағанда көрінгеннен тар: бір консоль, бір файл алмасу, бір ішкі веб-қолданба. Талапты осылай айтыңыз және ресурс иесіне оның осы соңғы нүктеге тиесілі екенін шешуге мүмкіндік беріңіз. Екі желіні біріктіру ретінде тұжырымдалған сұранысты мақұлдау қиын әрі қабылдамау оңай; бір аталған қызметке сұраныстың жауабы бар.

Жауап иә болса, ең тар қолдау көрсетілетін жолды таңдап, оны ұйымның қолданыстағы бақылауларының ішінде ұстаңыз. Басқарылатын екінші профиль немесе шектеулі ауқымдағы қолданба жазбасы мониторинг пен саясатты сақтайды; бәсекелес жеке конфигурация оларды үнсіз алмастырады, ал келесі жаңартудан кейін қайсысы жеңетінін ешкім білмейді.

DNS пен маршрут әсерлерін қосыңыз

Атауларды шешу екінші профиль белсенді болған сәтте өзгереді. Жеке клиент өз шешушісін таңуы мүмкін, браузер өзінің шифрланған DNS-ін қолдануы мүмкін, ал саясат кестесі ішкі атауларды корпоративтік конфигурация күтетіннен басқа серверге бағыттауы мүмкін. Осының ешқайсысы бағыттауды қажет етпейді, және кез келгені ішкі хост атауын дұрыс емес жерге жібере алады.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Осы үш шығысты екінші профиль қосылғанға дейін және кейін түсіріп алыңыз. Олардың арасындағы айырмашылық пайдаланушыға шын мәнінде жететін әсер, және ол билетте сипатталған маршрут өзгерісінен жиі үлкен. Екі жазбаны да сақтаңыз, кейінгі шолушы не өзгергенін көрсін, не ниет етілгенін емес.

Тексеріңіз және шығу жолын ұстаңыз

Мақұлданған қолданбаны сол машинадағы әкімші қабығынан емес, нақты процесс пен пайдаланушы контекстінен сынаңыз. Содан кейін дизайн талап ететін жерде байланыссыз межелердің қолжетімсіз болып қалатынын растаңыз: ешкім тексермеген шекара — ешкім сілтеме жасай алмайтын шекара. Жеке туннельді ажырату алдыңғы күйді қалпына келтіруі керек, және бұл қалпына келтіруді әлі біреу қарап тұрғанда тексеруге тұрарлық.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-тің нөлдік сенім архитектурасы туралы нұсқаулығы осында пайдалы, өйткені ол желілік орынды сенімнің автоматты көзі ретінде алып тастайды, ал бұл дәл талқыланып отырған болжам. Сұрақ үй желісі табиғатынан сенімді ме дегенде емес; сұрақ кім қай ресурсқа, қай соңғы нүктеден, қай орындау нүктесі арқылы жете алады дегенде. Осы үшеуіне жауап беріңіз және дәлелдерді шешіммен бірге сақтаңыз.