Чакан кеңсе VPN: аны домен контроллерунан өзүнчө кармаңыз

Кеңсенин жалгыз Windows сервери VPNды да бүтүрүшү керекпи, муну үч шарт чечет: каталогдо интернетке багытталган канча программалык камсыздоону иштетүүгө даярсыз, ошол ролсуз алыскы колдонуучуларды аутентификациялай аласызбы, жана хост кайра жүктөлгөндө башкаруу мүмкүнчүлүгүңүзгө эмне болот. Үчөөнүн биринин жообу жаман болсо, ролдорду бөлүңүз. Кеңсенин кичине болушу бюджетти өзгөртөт, коркунучту эмес.

Домендеги ар бир машина домен контроллеруна ишенет; VPN дарбазасына интернеттеги ар ким жете алат. Бул асимметрия — бүткүл далил.

Эки башка таасир профили бар эки жумуш

Дарбаза сырттан байланыштарды кабыл алат, ошондуктан анын угуучусу, TLS стеги жана аутентификация бети ишенимсиз тармактардан жеткиликтүү. Каталог башка машиналар ишенген бийликти кармайт, ошондуктан Microsoftтун бекемдөө нускамасы домен контроллерунун ролун жана анын хостинг чөйрөсүн өзгөчө сезимтал деп карайт. Бул хостко кошулган ар бир кызмат каталогдун ишеним ордун мурастайт жана өзүнүн чабуул бети кошот. Орнотуунун ыңгайлуулугу ишеним чек арасы эмес.

Ролдорду бөлүү көз карандылыктарды жойбойт. Алыскы колдонуучуларга дагы эле аутентификация, маршруттар, DNS жана кирүү эрежелери керек, ал эми аларды өткөрүп жиберген дарбаза кооптуураак эмес, жөн гана пайдалуураак эмес.

Каталог ролунсуз аутентификация

Дарбаза колдоого алынган тышкы интеграция аркылуу каталогдун өзүн хостингдебестен эсептик дайындарды текшере алат. Бул интеграция кандай болсо да, ага максатка туура келген укуктары бар эсеп берүү: аутентификация үчүн керектүү атрибуттарды окуу, андан ашык эмес. VPN колдонуучуларын кабыл алуу алардын кадимки эсептерин домен администраторлору кылууну эч качан талап кылбайт жана дарбазанын каталог көчүрмөсүн кармоосун эч качан талап кылбайт.

Андан кийин алыскы кардарга чындап керек болгон тармак жолдорун чектеңиз. Бир ички файл кызматына кирүү, кошумча ошол жумуш агымы көз каранды болгон аттарды чечүү жана инсандык кызматтары — аныкталган жолдор жыйындысы. Бул VPN пулунан домен контроллерунун ар бир портун же ар бир административдик интерфейсин уруксат берүүгө себеп эмес.

Бир хост дагы эле бир бузулуу домени

Бир гипервизордогу эки конок операциялык системанын конфигурациясын бөлөт, бирок тагдырын бөлбөйт. Гипервизордун администраторлору, виртуалдык которуу, сактоо жана камдык көчүрмөлөр долбоордун бөлүгү болуп калат, ал эми хостту кайра жүктөө эки кызматты тең бир убакта жок кылат. Диаграммада эки VM көрүнгөндүктөн муну жогорку жеткиликтүүлүк деп атоо кеңири тараган жана кымбат ката. Эгер кайтуунун жалгыз жолу ошол хосттогу VPN аркылуу өтсө, бузулуу аны оңдоо үчүн керек болгон байланышты алып кетет.

Ошондуктан туннелге көз каранды эмес өз алдынча башкаруу жолун пландаштырыңыз жана тейлөө учурунда эмне жеткиликтүү бойдон каларын жазыңыз. Дарбаза жаңыртуулары менен каталогго тейлөөнү өзүнчө пландаштырып, ар бир үзгүлтүк кайсы колдонуучуларга же тиркемелерге тийерин белгилеңиз.

VPNды оңдоо үчүн VPN күйүп турушун талап кылган тейлөө терезеси тейлөө терезеси эмес.

Өзүңүздү камап салбастан жылдырыңыз

Эгер ролдор буга чейин бир орнотууну бөлүшсө, шашып алыскы миграциядан качыңыз. Дарбаза бүгүн ээлик кылган нерселерди тизмектеңиз: даректер, багыттоо эрежелери, NAT, DNS жөндөөлөрү, аутентификация конфигурациясы жана жарыяланган кызматтар. Угуучуну жылдыруудан же демейки маршрутту өзгөртүүдөн мурун алмаштыргычты да, кайтуу жолун да даярдаңыз. Андан кийин кадимки алыскы колдонуучунун чыныгы ишин жаңы чек ара аркылуу сынап, керексиз административдик кирүү дагы эле ишке ашпай турганын ырастаңыз.

Максат коозураак диаграмма эмес. Бүт кеңсе үчүн каталог ишенимин бекемдеген кутуга тийбестен VPNды оңдоо же кайра куруу жөндөмү. Булар ар башка максаттар жана алардын бирине гана экинчи сервер керек.

Чечимди кандай болбосун жазып коюңуз, аны кайра ача турган шарттарды кошкондой. Кичине кеңсе өсөт, ал эми бир серверге туура келген жооп кийинкисине туура келбеши мүмкүн.