Иш ноутбугу жеке VPN'де: чындыгында эмне өтөт

Компаниянын ноутбугун үй VPN'ине туташтыруу аны бир убакта эки жерге жайгаштырат, ал эми кызыктуу суроо тынчсыздандырган суроодон кичирээк жана пайдалуураак. Эч ким кеңсе менен үйдүн ортосуна Ethernet кабелин тарткан эмес, жана эч бир маршрут үй тармагын корпоративдик субтармактын уландысы кылбайт. Бар нерсе — эки чөйрөгө тең жетүү мүмкүнчүлүгү бар бир акыркы чекит, ал эми алардын ортосунда чындыгында эмне жылып кете аларын үч өзүнчө механизм чечет. Ушул үчөөнү акыркы чекиттен сырткары карап өтүү белгилер жөнүндө талаштын ордуна администратор аракет кыла турган жооп берет.

Тармак схемасынан эмес, акыркы чекиттен баштаңыз

Акыркы чекит — эки туташуу кезигишкен жер, ошондуктан карап чыгуу ошол жерден башталат: кайсы процесстер иштеп жатат, эмнеге жете алышат жана аларды ким башкарат. Ноутбукка туташкан эки булутту көрсөткөн схема так жана пайдасыз, анткени ал болбошу мүмкүн болгон байланышты көрсөтөт. Анын ордуна ар бир чөйрө менен сүйлөшө алган колдонмолордун тизмесин кой, жана ар бири кайсы эсептин астында иштешин жаз. Бул алкак карап чыгууну пропорционалдуу да кармайт, анткени эки туннели бар ноутбук туташкан эки тармак менен бирдей объект эмес.

Бул тизме — карап чыгуунун калган бөлүгү таянган инвентарь. Эгерде анда синхрондоо клиенти, эки чөйрөгө тең кирген браузер профили жана каттоо маалыматтары бар куруу агенти болсо, карап чыгуунун темалары мурунтан эле бар.

Үч өтүү чекити, өзүнчө каралган

Колдонмолорго жетүү — биринчи өтүү чекити жана ал эч кандай багыттоону талап кылбайт. Акыркы чекиттеги браузер өтмөгү, синхрондоо клиенти же куруу агенти бир чөйрөнүн ресурсунан окуп, экинчи чөйрөнүн ресурсуна маалымат жөнөтө алат. Бул мүмкүнчүлүк операциондук система интерфейстердин ортосунда пакеттерди багыттайбы же жокпу — ага карабастан бар, жана адамдар көпүрө жок болсо тобокелдик да жок деген жыйынтыкка келгенде көз жаздымында калтырган механизм ушул. Ошондуктан интерфейстердин тизмесин окугандан көрө колдонмолордун тизмесин окуу маалыматтуураак.

Идентификация жана маалымат экинчи өтүү чекитин түзөт. Корпоративдик каттоо маалыматтары, сессия cookie файлдары, жүктөлгөн документтер жана башкаруу укуктары акыркы чекитте жашайт, жана башка тармакка кошулуу аларды өзүнөн өзү ачпайт. Өзгөргөн нерсе — ошол каттоо маалыматтарын кармап турганда акыркы чекитке таасир эте алган тараптардын жыйындысы, жана бул багыттоо жөнүндө эмес, жеке тармактын ишенимдүүлүгү жөнүндө суроо. Бул акыркы чекиттин ээси жалгыз кабыл ала албай турган чечим, жана ага багыттоо эрежесинин жоктугу жооп бербейт.

Тармактык багыттоо — үчүнчүсү жана ноутбукту транзиттик түзмөккө айланддыра алган жалгыз механизм. IP багыттоо, интернет байланышын бөлүшүү, прокси же көпүрө функциясы муну жасай алат, жана ар бири күйгүзүлгөн же күйгүзүлбөгөн конфигурация. Бул абалды VPN клиентинин бардыгынан болжолдобой, түз текшер. Башкарылуучу машинада жооп адатта жок, жана аны текшерүү божомолду жазууга татыктуу фактыга айландырат.

Эки тармак эмес, бир ресурс сураңыз

Реалдуу талаптардын көбү биринчи көрүнгөндөн тарыраак: бир консоль, бир файл бөлүшүү, бир ички веб-колдонмо. Талапты ушундай айт жана ресурстун ээси анын ушул акыркы чекитке таандык экенин өзү чечсин. Эки тармакты бириктирүү деп түзүлгөн сурамды бекитүү кыйын жана четке кагуу оңой; бир аталган кызматка болгон сурамдын жообу бар.

Жооп ооба болсо, эң тар колдоого алынган жолду тандап, аны уюмдун учурдагы көзөмөлдөрүнүн ичинде карма. Башкарылуучу экинчи профиль же чектелген кампадагы колдонмо жазуусу мониторинг менен саясатты сактайт; атаандаш жеке конфигурация аларды үнсүз алмаштырат, жана кийинки жаңыртуудан кийин кайсы жеңээрин эч ким билбейт.

DNS жана маршрут таасирлерин кошуңуз

Аттарды чечүү экинчи профиль активдүү болгон учурда эле өзгөрөт. Жеке клиент өзүнүн чечүүчүсүн зордоп киргизе алат, браузер өзүнүн шифрленген DNS'ин колдоно алат, ал эми саясат жадыбалы ички аттарды корпоративдик конфигурация күткөндөн башка серверге багыттай алат. Булардын эч бири багыттоону талап кылбайт, жана кайсынысы болбосун ички хост атын туура эмес жерге жөнөтө алат.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Ушул үч чыгарылышты экинчи профиль туташканга чейин жана андан кийин жаздырып ал. Алардын ортосундагы айырма — колдонуучуга чындыгында жеткен таасир, жана ал билетте сүрөттөлгөн маршрут өзгөрүүсүнөн көп учурда чоңураак. Эки жазууну тең сакта, кийинки текшерүүчү эмне өзгөргөнүн көрсүн, эмне ниет кылынганын эмес.

Текшериңиз жана чыгуу жолун сактаңыз

Бекитилген колдонмону ошол эле машинанын администратор кабыгынан эмес, реалдуу процесс жана колдонуучу контекстинен сына. Андан кийин долбоор талап кылган жерлерде байланышсыз багыттар жеткиликсиз бойдон калаарын ыраста: эч ким текшербеген чек — эч ким шилтеме жасай албаган чек. Жеке туннелди ажыратуу мурунку абалды калыбына келтириши керек, жана бул калыбына келтирүүнү дагы бирөө карап турганда текшерүүгө татыктуу.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST'тин нөлдүк ишеним архитектурасы жөнүндөгү көрсөтмөсү бул жерде пайдалуу, анткени ал тармактагы орунду ишенимдин автоматтык булагы катары алып салат, жана бул дал талкууланып жаткан божомол. Суроо үй тармагы табиятынан ишенимдүүбү дегенде эмес; суроо ким кайсы ресурска, кайсы акыркы чекиттен, кайсы аткаруу чекити аркылуу жете алат дегенде. Ушул үчөөгө жооп бер жана далилдерди чечим менен бирге сакта.