Klientų VPN prieiga: privilegijuotam darbui – atskiras įrenginys

Ryšio profilis sako Production, tunelis pakyla, ir kiekvienas darbalaukio langas dabar pasiekia kliento sistemas. Niekas toje sekoje neatskyrė privilegijuotos sesijos nuo šalia esančios naršyklės kortelės. VPN profilis yra pavadinimas ir maršrutų rinkinys; riba, kuri jums iš tikrųjų rūpi, sudaroma iš įrenginio tapatybės, kontroliuojamos vykdymo aplinkos ir prisijungimo duomenų kelio. Šie trys taikomi skirtingose vietose, todėl pridėjus vieną ir praleidus kitus gaunamas sprendimas, kuris atrodo atitinkantis reikalavimus, bet nėra.

Profilio pavadinimas nėra riba

Klientas pritaiko maršrutus ir DNS konfigūraciją, kai tunelis pakyla, ir visa, kas vėliau veikia tame kompiuteryje, paveldi abu.

Pavadinimas išskleidžiamajame sąraše keičia tai, ką atpažįsta operatorius, o ne tai, ką leidžia operacinė sistema.

Įrenginio tapatybė yra tai, ką tinklo vartai gali patikrinti

Vartai, palaikantys įrenginio sertifikatus arba būsenos patikras, autentifikuoja ir kompiuterį, ir asmenį. Būtent šis sluoksnis gali atmesti ryšį iš nevaldomo nešiojamojo kompiuterio, kol niekas dar neįvedė slaptažodžio. Jis taip pat duoda ką nors konkretaus atšaukti, kai įrenginys pametamas. Vieno sertifikato nukopijavimas į tris kompiuterius pašalina būtent šią savybę, todėl sertifikato gyvavimo ciklas priklauso susitarimui, o ne bendram aplankui.

Klientas nusprendžia, kurių iš šių kontrolių reikalauja jo politika, o tiekėjo sukurta virtualioji mašina gali visiškai neatitikti būsenos patikros.

Kur virtualiosios mašinos riba prateka

Virtualioji mašina laiko kliento įrankius ir tinklo būseną kartu, ir tai tikrai naudinga. Tačiau ji priklauso nuo savo pagrindinio kompiuterio ir hipervizoriaus, o kelios patogybės kerta ribą: bendri aplankai, mainų atmintinės integracija, prisijungimo duomenų agentai ir administravimo prieiga pagrindinio kompiuterio lygmeniu. Privilegijuotas svečias kasdien naudojamame pagrindiniame kompiuteryje nėra savarankiškai patikimas, nes pagrindinis kompiuteris gali stebėti, ką daro svečias. Vertinkite virtualiąją mašiną kaip kontrolę, mažinančią poveikį, o ne kaip atskirą saugos sritį.

Atskiras fizinis įrenginys pašalina priklausomybę nuo pagrindinio kompiuterio ir vietoj jos prideda priežiūros prievolę.

Prisijungimo duomenys ir perdavimo keliai

Naudokite atskirus, atšaukiamus tapatumus kiekvienam inžinieriui ir kiekvienam klientui, ir laikykite juos atokiau nuo asmeninių naršyklės profilių ir pokalbių istorijos. Visos komandos bendrinamus prisijungimo duomenis neįmanoma švariai priskirti, keisti ar atšaukti. Nuspręskite įrankių, failų ir diagnostikos išvesties perdavimo kelią prieš pirmą sesiją, nes atsitiktinis failų judėjimas yra būdas, kuriuo riba tyliai nustoja būti riba. Jei vienu metu reikia pasiekti du klientus, pirmiausia gaukite tinklo ir tapatybės atskyrimo patvirtinimą.

Niekada nesujunkite dviejų klientų tinklų per vieną darbo vietą vien todėl, kad tą popietę tai buvo patogu.

Susitarimas, kuris tai daro pakartojamu

Parašykite trumpą įrašą kiekvienam klientui ir laikykite jį ten, kur abi pusės jį ras. Jame turi būti nurodytas patvirtintas įrenginys arba nuotolinė aplinka ir kas ją prižiūri, leidžiami tapatumai, sistemos ir operacijos, kurias jie gali pasiekti, perdavimo kelias ir įprastas sesijos pabaigos būdas.

Penkios eilutės, kurias kas nors peržiūri žmogui atėjus ar išėjus, nugali politiką, kurios niekas negali pritaikyti:

• Patvirtintas įrenginys arba nuotolinė aplinka su įvardytu priežiūros savininku.
• Atskiri naudotojo ir įrenginio tapatumai, leidžiami palaikymui.
• Sistemos ir operacijos, kurias tie tapatumai gali pasiekti.
• Leidžiamas kelias įrankiams, failams ir diagnostikos išvesčiai.
• Sesijos pabaigos procesas ir įgaliota avarinė alternatyva.

Avarinė prieiga neperkeliant prisijungimo duomenų

Kai kontrolė blokuoja skubų remontą, kelias yra išimties procesas, o ne antras nešiojamasis kompiuteris su tais pačiais prisijungimo duomenimis. Patvirtinta išimtis užfiksuoja, kas ją įgaliojo, kas buvo sušvelninta ir kada ji baigiasi. Prisijungimo duomenų perkėlimas į kasdien naudojamą kompiuterį pakeičia ribą blogiausiu įmanomu metu, ir paprastai ji tokia ir lieka. Avarinis kelias nusipelno repeticijos, kol niekas nesugedę.

Tada užbaikite sesiją taip, kaip sako susitarimas, ir patvirtinkite, kad prieiga tikrai nutrūko.