Kundenzougang iwwer VPN: gitt der privilegéierter Aarbecht hiren eegene Gerät

D’Verbindungsprofil seet Production, den Tunnel kënnt erop, an all Fënster um Desktop kann elo d’Systemer vum Client erreechen. Näischt an där Reiefolleg huet déi privilegéiert Sessioun vum Nopesch-Browsertab getrennt. E VPN-Profil ass en Numm plus eng Rei vu Ruten; d’Grenz, déi Iech wierklech wichteg ass, gëtt aus Gerätidentitéit, enger kontrolléierter Ausféierungsumgebung an engem Wee fir Umeldungsdaten opgebaut. Déi dräi ginn op verschiddene Plazen duerchgesat, dofir gëtt et en Design, dee konform ausgesäit an et net ass, wann ee jiddwereen bäisetzt an déi aner iwwerspréngt.

En Profilnumm ass keng Grenz

De Client applizéiert Ruten an DNS-Konfiguratioun, wann den Tunnel eropkënnt, an alles, wat duerno op där Maschinn leeft, ierftt béides.

En Numm an enger Dropdown ännert, wat en Operateur erkennt, net wat d’Betribssystem erlaabt.

D’Gerätidentitéit ass dat, wat de Gateway iwwerpréiwe kann

En Gateway, deen Gerätezertifikater oder Posture-Iwwerpréiwungen ënnerstëtzt, authentifizéiert d’Maschinn grad wéi d’Persoun. Dat ass d’Schicht, déi eng Verbindung vun engem net verwaltete Laptop refuséiere kann, ier een e Passwuert tippt. Et gëtt Iech och eppes Konkretes ze widderrufen, wann en Gerät verluer geet. Een Zertifikat op dräi Maschinne kopéieren hëlt genee déi Eegeschaft ewech, dofir gehéiert de Liewenszyklus vum Zertifikat an d’Vereinbarung an net an en Deele-Colleeg.

De Client entscheet, wat vun dëse Kontrollen seng Politik verlaangt, an eng virtuell Maschinn, déi en Ubieder gebaut huet, erfëllt vläicht eng Posture-Iwwerpréiwung guer net.

Wou eng VM-Grenz leckt

Eng virtuell Maschinn hält d’Werkziler vum Client an den Netzwierkzoustand zesummen, an dat ass wierklech nëtzlech. Si hänkt awer och vun hirem Host an dem Hypervisor of, a verschidden Annehmlichke ginn iwwer d’Grenz: gedeelt Colleegen, Clipboard-Integratioun, Agenten fir Umeldungsdaten a Verwaltungszougang um Host-Niveau. En privilegéierte Gaascht op engem alldeeglechen Host ass net onofhängeg vertrauenswierdeg, well den Host ka kucken, wat de Gaascht mécht. Behandelt d’VM als eng Kontroll, déi d’Expositioun reduzéiert, net als en eegene Sécherheetsberäich.

En dedizéierte physesche Gerät hëlt d’Ofhängegkeet vum Host ewech an setzt dofir eng Ënnerhaltsflicht dobäi.

Umeldungsdaten a Weeër vun der Iwwerleeferung

Benotzt eenzel, widderruffbar Identitéite pro Ingenieur a pro Client a haalt se aus perséinleche Browserprofilen an dem Chatverlaf eraus. Umeldungsdaten, déi en ganzt Team deelt, kënnen net propper zougeuerdnet, rotéiert oder widderruf ginn. Bestëmmt de Wee vun der Iwwerleeferung fir Werkziler, Fichieren an diagnosteschen Output virun der éischter Sessioun, well informell Fichierbeweegung ass de Wee, wéi eng Grenz roueg ophält eng Grenz ze sinn. Wann zwéi Clienten zur selwechter Zäit mussen erreecht ginn, loosst d’Netzwierk- an d’Identitéitstrennung fir d’éischt genehmegen.

Bréckt ni zwee Client-Netzwierker duerch eng eenzeg Aarbechtsstatioun, just well et deen Nomëtteg bequem war.

D’Vereinbarung, déi et widderhuelbar mécht

Schreift eng kuerz Notiz pro Client a haalt se do, wou béid Säite se fanne kënnen. Si sollt de genehmegten Gerät oder déi distanziert Ëmgebung an deen, deen en ënnerhält, nennen, déi erlaabten Identitéiten, d’Systemer an d’Operatiounen, déi se erreeche kënnen, de Wee vun der Iwwerleeferung an déi normal Aart, wéi eng Sessioun ophält.

Fënnef Zeilen, déi een iwwerpréift, wann eng Persoun kënnt oder geet, schloen eng Politik, déi keen uwende kann:

• Genehmegte Gerät oder distanziert Ëmgebung, mat engem genannten Ënnerhaltseigner.
• Eenzel Benotzer- a Gerätidentitéiten, déi fir den Support erlaabt sinn.
• Systemer an Operatiounen, déi déi Identitéiten erreeche kënnen.
• Erlaabte Wee fir Werkziler, Fichieren an diagnosteschen Output.
• Prozess zum Enn vun der Sessioun an eng autoriséiert Noutfall-Alternativ.

Noutfallzougang ouni Umeldungsdaten ze verréckelen

Wann eng Kontroll eng dréngend Reparatur blockéiert, ass de Wee den Ausnam-Prozess, net en zweete Laptop mat deene selwechten Umeldungsdaten. Eng genehmegt Ausnam notéiert, wien se autoriséiert huet, wat gelockert gouf a wéini se ophält. En Umeldungsdatum op eng alldeeglech Maschinn ze verréckelen ännert d’Grenz am schlëmmste Méiglechkeet, an et bleift duerno meeschtens geännert. Den Noutfallwee verdéngt eng Übung, soulaang näischt futti ass.

Da beendegt d’Sessioun wéi d’Vereinbarung et seet, a bestätegt, datt den Zougang wierklech opgehalen huet.