Aarbechtslaptop op engem perséinleche VPN: wat wierklech iwwergeet

E Firmelaptop un en Heem-VPN uschléissen setzt en gläichzäiteg op zwou Plazen, an déi interessant Fro ass méi kleng a méi nëtzlech wéi déi alarméierend. Keen huet en Ethernet-Kabel tëschent dem Büro an dem Haus geluecht, an keng Route mécht den Heemnetz zu enger Erweiderung vum Firmesubnetz. Wat et gëtt ass en eenzegen Endpunkt mat Zougang zu béiden Ëmfeld, an dräi getrennte Mechanismen entscheeden, wat wierklech tëschent hinnen iwwergeet. Dës dräi vum Endpunkt aus no baussen duerchzegoen gëtt eng Äntwert, op déi en Administrateur ka reagéieren, amplaz eng Debatt iwwer Etiketten.

Fänkt um Endpunkt un, net um Netzwierkdiagramm

Den Endpunkt ass dee Punkt, wou béid Verbindungen zesummekommen, also fänkt d'Préiwung do un: wéi eng Prozesser lafen, wat se kënne erreechen a wien se kontrolléiert. En Diagramm, deen zwee Wolleken un engem Laptop verbonne weist, ass korrekt an onnëtzlech, well en eng Verbindung implizéiert déi et vläicht net gëtt. Ersetzt en duerch eng Lëscht vun den Uwendungen, déi mat all Ëmfeld schwätze kënnen, a notéiert a wéi engem Kont jiddweree leeft. Dëse Kader hält d'Préiwung och proportionnéiert, well en Laptop mat zwee Tunnelen net datselwecht Objet ass wéi zwee verbonnen Netzwierker.

Déi Lëscht ass den Inventar, vun deem de Rescht vun der Préiwung aus schafft. Wann se en Synchronisatiounsclient, e Browserprofil deen an béiden Ëmfelder ugemellt ass an en Build-Agent mat Umeldungsinformatiounen enthält, huet d'Préiwung schonn hir Sujeten.

Dräi Iwwergangspunkte, getrennt gepréift

Den Zougang vun den Uwendungen ass den éischten Iwwergangspunkt, an en erfuerdert keng Weiderleedung. En Browser-Tab, en Synchronisatiounsclient oder en Build-Agent um Endpunkt ka vun enger Ressource an engem Ëmfeld liesen an Daten un eng Ressource am aneren Ëmfeld schécken. Dës Fähegkeet gëtt et onofhängeg dovun, ob den Betriebssystem Paketen tëschent den Interface weiderleet, an et ass genau dee Mechanismus, deen d'Leit iwwersinn, wann se schléissen, keng Bréck bedeit kee Risiko. Dofir ass d'Lëscht vun den Uwendungen ze liesen informatiwer wéi d'Lëscht vun den Interface ze liesen.

Identitéit an Daten bilden den zweeten Iwwergangspunkt. Firmenumeldungsinformatiounen, Sessiounscookien, erofgelueden Dokumenter a Verwaltungsrechter liewen um Endpunkt, an an en anert Netzwierk bäitrieden deckt se net vu sech aus op. Wat sech ännert ass de Set vu Parteien, déi den Endpunkt beaflosse kënnen, während en déi Umeldungsinformatiounen huet, an dat ass eng Fro iwwer d'Verlässlechkeet vum perséinlechen Netzwierk an net iwwer Routing. Dat ass eng Bewäertung, déi den Owner vum Endpunkt net eleng ka maachen, an op déi d'Feele vun enger Weiderleedungsregel keng Äntwert gëtt.

Netzwierk-Weiderleedung ass déi drätt, an déi eenzeg déi den Laptop an en Transit-Gerät ka verwandelen. IP-Weiderleedung, Deele vun der Internetverbindung, e Proxy oder eng Bréckfunktioun kënnen dat all maachen, an all ass eng Konfiguratioun déi entweder aktivéiert ass oder net. Kuckt deen Zoustand direkt un, amplaz en aus der Präsenz vun engem VPN-Client ofzeleeden. Op enger verwaltener Maschinn ass d'Äntwert meeschtens nee, an et ze verifizéieren mécht aus enger Unnahm eng Tatsaach déi et wäert ass ze notéieren.

Frot eng Ressource, net zwee Netzwierker

Déi meescht reell Ufuerderunge si méi schmuel wéi se um éischten Bléck schéngen: eng Konsole, eng Dateifreigabe, eng intern Webapplikatioun. Formuléiert d'Ufuerderung esou a loosst den Owner vun der Ressource entscheeden, ob se iwwerhaapt op dësen Endpunkt gehéiert. Eng Demande déi als Zesummeschloss vun zwee Netzwierker formuléiert ass ass schwéier ze genehmegen a liicht ofzeleenen; eng Demande fir een benannte Service huet eng Äntwert.

Wann d'Äntwert jo ass, bevirzugt de schmuelste ënnerstëtzte Wee a hält en bannent den existente Kontrolle vun der Organisatioun. En verwaltent zweete Profil oder en Applikatiounsantrag mat limitéiertem Ëmfang erhält Iwwerwaachung a Politik; eng konkurréierend perséinlech Konfiguratioun ersetzt se stëll, an et weess keen wien no der nächster Aktualiséierung gewënnt.

Schléisst DNS- an Route-Wierkungen an

D'Nimmopklärung ännert sech am Abléck, wou en zweete Profil aktiv ass. En perséinleche Client ka säin eegene Resolver duerchsetzen, e Browser ka säin eegent verschlësselt DNS benotzen, an eng Politiktabelle ka intern Nimm op en anere Server leeden wéi déi d'Firmekonfiguratioun erwaart. Naischt dovun erfuerdert Weiderleedung, an all ka en internen Hostnumm op déi falsch Plaz schécken.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Hëlt déi dräi Ausgänge virun an no deem den zweete Profil sech verbënnt op. Den Ënnerscheed tëschent hinnen ass de Wierkung, déi wierklech bei den Notzer kënnt, an si ass dacks méi grouss wéi d'Routingännerung déi den Ticket beschreift. Halt béid Opzeechnungen, sou datt e spéideren Iwwerpréiwer gesäit wat sech geännert huet an net wat virgesi war.

Verifizéiert a behält en Auswee

Test d'genehmegt Applikatioun aus dem echte Prozess an Notzerkontext, net aus enger Administrateursshell op der selwechter Maschinn. Bestätegt dann, datt onverbonne Destinatiounen onereechbar bleiwen, wou den Design et verlaangt: eng Grenz déi keen getest huet ass eng Grenz op déi keen sech ka beruffen. D'Ofhuele vum perséinlechen Tunnel sollt den viregen Zoustand restauréieren, an déi Restauratioun ass et wäert ze préiwen, während nach een drop kuckt.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

D'NIST-Richtlinie iwwer Nullvertrauensarchitektur ass hei nëtzlech, well se de Netzwierkstanduert als automatesch Vertrauensquell ewechhëlt, an dat ass genau d'Unnahm déi zur Debatt steet. D'Fro ass net ob den Heemnetz vun Natur aus vertrauenswierdeg ass; se ass wien wéi eng Ressource erreeche kann, vun wéi engem Endpunkt, iwwer wéi en Duerchsetzungspunkt. Äntwert déi dräi, an haalt d'Beweiser bei der Entscheedung.