Pasiūlyti nuotolinės prieigos įrenginį, kurį tinklo savininkas gali patvirtinti

Nuotolinės prieigos įrenginys keičia kliento tinklo ribą net tada, kai jungiasi į išorę ir nereikalauja jokio įeinančio prievadų peradresavimo. Būtent išorinė kryptis daro jį lengvai įdiegiamą ir lengvai nepastebimą. Pateikite jį kaip prieigos projektavimo prašymą, kol jis dar nepateko į tinklą. Pateikti jį kaip kažką, ko nereikėjo minėti, yra būdas, kuriuo techninė sėkmė virsta sutarties problema.

Tarkime, kad tinklo savininkas užduos keturis klausimus: ką, kas, kaip toli ir kaip tai atšauksime.

Prašykite ištekliaus, o ne potinklio

Aprašykite darbą terminais, kuriuos naudoja savininkas: kuriam asmeniui reikia kurios paslaugos, kuriame įrenginyje ir kiek laiko. Prašymą, apribotą viena programa viename mazge, lengva patvirtinti. Prašymas dėl potinklio yra prašymas pertvarkyti kito žmogaus segmentavimą.

Gali būti, kad klientas jau naudoja patvirtintą VPN, nuotolinio darbalaukio tinklų sietuvą ar valdomą palaikymo kanalą, kuris patenkina poreikį. Patikrinkite tai pirmiausia, nes esamo kelio pakartotinis naudojimas paprastai yra pigiausias atsakymas abiem pusėms. Jei jis netinka, pasakykite tiksliai kodėl. Tas palyginimas yra stipriausia pasiūlymo dalis.

Jei įrenginio tikrai reikia, atsineškite jo savininką, programinės įrangos šaltinį, atnaujinimo procesą ir numatomą įdiegimo vietą.

Parodykite ryšį ir kur baigiasi pasitikėjimas

Nubraižykite įrenginį, nuotolinį naudotoją, bet kokį tarpininką ar relę ir saugomą išteklių. Pažymėkite, kur baigiasi šifravimas ir kas administruoja kiekvieną galinį tašką. Išėjimo sesija vis tiek įveda naują valdymo kelią, ir diagramoje tai tampa matoma. Teiginys, kad srautas užšifruotas, atsako į konfidencialumo klausimą ir į nė vieną autorizacijos klausimą.

Nurodykite režimą aiškiai: paketų peradresavimas, programos tarpinė serveris ar atviras darbalaukis. Kiekvienas turi skirtingas pasekmes maršrutizavimui ir mazgo saugai, ir kiekvienas nepavyksta skirtingai, kai įrenginys kompromituojamas.

Nesusijusius kliento tinklus ir paties įrenginio administravimo sąsają laikykite už patvirtintos apimties ribų.

Atskirkite naudotojo tapatybę nuo įrenginio tapatybės

Naudotojų registracija, įrenginio tapatybė, daugiafaktoris autentifikavimas ir prisijungimas prie programos yra keturios skirtingos kontrolės priemonės, ir pasiūlymas turėtų įvardyti kiekvieną. Bendri prisijungimo duomenys yra įprastas sutrumpinimas ir palieka savininką be galimybės atšaukti vieną asmenį netrikdant visų. Prisijungimas turėtų likti prie programos. Įrenginys autentifikuoja ryšį; paslauga nusprendžia, ką tas ryšys gali daryti.

NIST nulinio pasitikėjimo architektūra čia naudinga, nes išteklių prieigą traktuoja kaip aiškų sprendimą, o ne kaip tinklo vietos pasekmę.

Sutarkite dėl atkūrimo ir pašalinimo prieš įdiegimą

Savininkas turėtų galėti greitai išjungti prieigą per savo valdomą valdiklį, o ne per skambutį jums. Užrašykite prisijungimo duomenų atšaukimą, įrenginio pašalinimą, atsakomybę už atnaujinimus ir galiojimo ar peržiūros datą. Išsaugokite vietinį atkūrimo kelią, kuris nepriklauso nuo naujo nuotolinio kanalo. Įrenginys, kurio niekas negali pašalinti be tiekėjo, yra nuolatinė priklausomybė, užmaskuota kaip patogumas.

Veskite apskaitą proporcingai: patvirtintos tapatybės, prieigos apimtis, reikšmingi pakeitimai ir atitinkami gedimai.

Nesusijusios naršymo istorijos rinkimas siekiant įrodyti, kad įrenginys egzistuoja, nėra gero veikimo įrodymas ir sukuria įsipareigojimą, kurio savininkas niekada neprašė.

Kaip atrodo sėkmingas patvirtinimas

Priimkite projektą kartu su savininku su viena leidžiama paslauga ir vienu ištekliumi, kuris turi likti uždraustas. Ta antroji pusė yra dalis, kurią žmonės praleidžia, ir tai vienintelė dalis, įrodanti, kad riba yra ten, kur sako diagrama. Išbandykite atšaukimą taip pat, prieš įrenginiui pradedant nešti tikrą darbą. Jei patvirtinimas sulaikomas, naudokite kliento patvirtintą alternatyvą arba atlikite darbą vietoje.

Veikiantis ryšys nėra leidimas sukurti prieigos kelią.

Užrašykite patvirtinimą su jo apimtimi ir galiojimu ir perduokite savininkui kopiją. Kitas žmogus, kuris palies tą tinklą, skaitys įrašą, o ne jūsų prisiminimą apie pokalbį.