소규모 사무실 VPN: 도메인 컨트롤러에서 분리하십시오

사무실의 유일한 Windows 서버가 VPN까지 종료해야 하는지는 세 가지 조건이 결정합니다: 디렉터리에서 인터넷에 노출된 소프트웨어를 얼마나 실행할 의향이 있는지, 그 역할 없이 원격 사용자를 인증할 수 있는지, 호스트가 재부팅될 때 관리 접근이 어떻게 되는지입니다. 세 가지 중 하나라도 답이 나쁘면 역할을 분리하십시오. 사무실이 작다는 것은 예산을 바꿀 뿐 위험을 바꾸지 않습니다.

도메인의 모든 머신은 도메인 컨트롤러를 신뢰하지만, VPN 게이트웨이는 인터넷의 누구나 도달할 수 있습니다. 그 비대칭성이 논거의 전부입니다.

서로 다른 노출 프로필을 가진 두 가지 작업

게이트웨이는 외부 연결을 받아들이므로 리스너, TLS 스택, 인증 표면이 모두 신뢰할 수 없는 네트워크에서 도달 가능합니다. 디렉터리는 다른 머신이 신뢰하는 권한을 보유하기에 Microsoft의 강화 지침은 도메인 컨트롤러 역할과 그 호스팅 환경을 특히 민감하게 다룹니다. 그 호스트에 추가되는 모든 서비스는 디렉터리의 신뢰 위치를 물려받으면서 자체 공격 표면을 더합니다. 설치의 편의성은 신뢰 경계가 아닙니다.

역할을 분리해도 의존성은 사라지지 않습니다. 원격 사용자에게는 여전히 인증, 경로, DNS, 접근 규칙이 필요하며, 이를 건너뛰는 게이트웨이는 더 안전한 것이 아니라 덜 유용할 뿐입니다.

디렉터리 역할 없이 인증하기

게이트웨이는 지원되는 외부 통합을 통해 디렉터리 자체를 호스팅하지 않고도 자격 증명을 검증할 수 있습니다. 그 통합이 무엇이든, 인증에 필요한 속성만 읽으면 되는 목적에 맞는 권한의 계정을 주십시오. VPN 사용자를 받아들이는 데 그들의 일반 계정을 도메인 관리자로 만들 필요는 결코 없으며, 게이트웨이가 디렉터리 사본을 보관할 필요도 결코 없습니다.

다음으로 원격 클라이언트가 실제로 필요로 하는 네트워크 경로를 제한하십시오. 내부 파일 서비스 하나에 대한 접근과 그 워크플로가 의존하는 이름 확인 및 ID 서비스는 정의된 경로 집합입니다. VPN 풀에서 모든 도메인 컨트롤러 포트나 모든 관리 인터페이스를 허용할 이유는 아닙니다.

하나의 호스트는 여전히 하나의 장애 도메인

하나의 하이퍼바이저 위 두 게스트는 운영체제 구성을 분리하지만 운명은 분리하지 않습니다. 하이퍼바이저 관리자, 가상 스위칭, 스토리지, 백업은 설계의 일부로 남고, 호스트 재부팅은 두 서비스를 한꺼번에 제거합니다. 다이어그램에 VM이 둘 보인다고 고가용성이라 부르는 것은 흔하고 값비싼 실수입니다. 되돌아갈 유일한 경로가 그 호스트의 VPN을 지난다면 장애는 복구에 필요한 연결을 앗아갑니다.

그러므로 터널에 의존하지 않는 독립적인 관리 경로를 계획하고, 유지보수 중에 무엇이 계속 사용 가능한지 적어 두십시오. 게이트웨이 업데이트와 디렉터리 유지보수를 따로 일정에 넣고, 각 중단이 어떤 사용자나 애플리케이션에 닿는지 기록하십시오.

VPN을 고치기 위해 VPN이 켜져 있어야 하는 유지보수 창은 유지보수 창이 아닙니다.

스스로 잠기지 않고 옮기기

역할이 이미 하나의 설치를 공유한다면 급한 원격 마이그레이션을 피하십시오. 게이트웨이가 오늘 보유한 것, 즉 주소, 전달 규칙, NAT, DNS 설정, 인증 구성, 게시된 서비스를 목록화하십시오. 리스너를 옮기거나 기본 경로를 바꾸기 전에 대체물과 되돌아갈 길을 모두 준비하십시오. 그런 다음 새 경계를 통해 평범한 원격 사용자의 실제 업무를 시험하고, 불필요한 관리 접근이 여전히 실패하는지 확인하십시오.

목표는 더 예쁜 다이어그램이 아닙니다. 사무실 전체의 디렉터리 신뢰를 고정하는 상자를 건드리지 않고 VPN을 수리하거나 재구축하는 능력입니다. 이것은 서로 다른 목표이며, 둘 중 하나만 두 번째 서버를 필요로 합니다.

어느 경우든 결정을 기록하고, 그것을 다시 열 조건도 포함하십시오. 작은 사무실은 자라고, 한 서버에 맞던 답이 다음에는 맞지 않을 수 있습니다.