Darbo nešiojamasis kompiuteris asmeniniame VPN: kas iš tikrųjų pereina

Įmonės nešiojamojo kompiuterio prijungimas prie namų VPN pastato jį į dvi vietas vienu metu, o įdomus klausimas yra mažesnis ir naudingesnis už nerimą keliantį. Niekas netiesė Ethernet kabelio tarp biuro ir namų, ir joks maršrutas nepaverčia namų tinklo įmonės potinklio pratęsimu. Egzistuoja vienas galinis taškas su prieiga prie abiejų aplinkų, o trys atskiri mechanizmai nusprendžia, kas iš tikrųjų gali judėti tarp jų. Šių trijų peržiūra nuo galinio taško į išorę duoda atsakymą, kuriuo administratorius gali veikti, o ne ginčą dėl etikečių.

Pradėkite nuo galinio taško, o ne nuo tinklo schemos

Galinis taškas yra vieta, kur susitinka abu ryšiai, todėl ten ir prasideda peržiūra: kurie procesai veikia, ką jie gali pasiekti ir kas juos kontroliuoja. Schema, rodanti du debesis, prijungtus prie nešiojamojo kompiuterio, yra tiksli ir nenaudinga, nes ji numato ryšį, kurio gali ir nebūti. Pakeiskite ją programų, galinčių kalbėtis su kiekviena aplinka, sąrašu ir pažymėkite, su kuria paskyra kiekviena veikia. Tokia struktūra išlaiko peržiūrą proporcingą, nes nešiojamasis kompiuteris su dviem tuneliais nėra tas pats objektas kaip du sujungti tinklai.

Šis sąrašas yra inventorius, iš kurio dirba likusi peržiūros dalis. Jei jame yra sinchronizavimo klientas, abiejose aplinkose prisijungęs naršyklės profilis ir kūrimo agentas su prisijungimo duomenimis, peržiūra jau turi savo objektus.

Trys perėjimo taškai, nagrinėjami atskirai

Programų prieiga yra pirmasis perėjimo taškas, ir jam nereikia jokio persiuntimo. Galiniame taške esanti naršyklės kortelė, sinchronizavimo klientas ar kūrimo agentas gali skaityti iš vienos aplinkos ištekliaus ir siųsti duomenis į kitos aplinkos išteklių. Šis gebėjimas egzistuoja nepriklausomai nuo to, ar operacinė sistema persiunčia paketus tarp sąsajų, ir būtent šį mechanizmą žmonės praleidžia, kai daro išvadą, kad nėra tilto reiškia nėra rizikos. Todėl programų sąrašo skaitymas yra informatyvesnis už sąsajų sąrašo skaitymą.

Tapatybė ir duomenys sudaro antrąjį perėjimo tašką. Įmonės prisijungimo duomenys, sesijos slapukai, atsisiųsti dokumentai ir valdymo teisės yra galiniame taške, ir prisijungimas prie kito tinklo savaime jų neatskleidžia. Keičiasi šalių, galinčių paveikti galinį tašką, kol jis laiko tuos prisijungimo duomenis, rinkinys, ir tai yra asmeninio tinklo patikimumo, o ne maršrutizavimo klausimas. Tai sprendimas, kurio galinio taško savininkas negali priimti vienas, ir į jį neatsako persiuntimo taisyklės nebuvimas.

Tinklo persiuntimas yra trečiasis ir vienintelis, galintis paversti nešiojamąjį kompiuterį tranzitiniu įrenginiu. IP persiuntimas, interneto ryšio bendrinimas, tarpinis serveris ar tilto funkcija gali tai padaryti, ir kiekvienas jų yra nustatymas, kuris arba įjungtas, arba ne. Tikrinkite šią būseną tiesiogiai, o ne spręskite iš VPN kliento buvimo. Valdomoje mašinoje atsakymas paprastai yra ne, o jo patikrinimas paverčia prielaidą faktu, kurį verta užrašyti.

Prašykite vieno ištekliaus, o ne dviejų tinklų

Dauguma realių reikalavimų yra siauresni, nei atrodo iš pradžių: viena konsolė, vienas failų bendrinimas, viena vidinė žiniatinklio programa. Suformuluokite reikalavimą taip ir leiskite ištekliaus savininkui nuspręsti, ar jis apskritai priklauso šiam galiniam taškui. Prašymas, suformuluotas kaip dviejų tinklų sujungimas, yra sunkiai patvirtinamas ir lengvai atmetamas; prašymas dėl vienos įvardytos paslaugos turi atsakymą.

Jei atsakymas yra taip, pirmenybę teikite siauriausiam palaikomam keliui ir laikykite jį organizacijos esamų kontrolės priemonių viduje. Valdomas antrasis profilis arba ribotos apimties programos įrašas išlaiko stebėjimą ir politiką; konkuruojanti asmeninė konfigūracija tyliai juos pakeičia, ir niekas nežino, kuri laimi po kito atnaujinimo.

Įtraukite DNS ir maršrutų poveikį

Vardų sprendimas pasikeičia tą akimirką, kai antrasis profilis tampa aktyvus. Asmeninis klientas gali primesti savo sprendėją, naršyklė gali naudoti savo šifruotą DNS, o politikos lentelė gali nukreipti vidinius vardus į kitą serverį, nei tikisi įmonės konfigūracija. Nė vienas iš jų nereikalauja persiuntimo, ir bet kuris gali nusiųsti vidinį pagrindinio kompiuterio vardą ne į tą vietą.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Užfiksuokite tuos tris išvestis prieš antrojo profilio prisijungimą ir po jo. Skirtumas tarp jų yra poveikis, kuris iš tikrųjų pasiekia naudotoją, ir jis dažnai didesnis nei biliete aprašytas maršruto pakeitimas. Išsaugokite abu įrašus, kad vėlesnis peržiūrėtojas matytų, kas pasikeitė, o ne kas buvo numatyta.

Patikrinkite ir palikite išėjimą

Išbandykite patvirtintą programą iš tikrojo proceso ir naudotojo konteksto, o ne iš administratoriaus apvalkalo toje pačioje mašinoje. Tada patvirtinkite, kad nesusijusios paskirties vietos lieka nepasiekiamos ten, kur to reikalauja projektas: riba, kurios niekas neišbandė, yra riba, į kurią niekas negali remtis. Asmeninio tunelio atjungimas turėtų atkurti ankstesnę būseną, ir tą atkūrimą verta patikrinti, kol kažkas dar žiūri.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST gairės apie nulinio pasitikėjimo architektūrą čia naudingos, nes jos pašalina tinklo vietą kaip automatinį pasitikėjimo šaltinį, o tai yra būtent ta prielaida, dėl kurios diskutuojama. Klausimas ne tas, ar namų tinklas iš prigimties patikimas; klausimas, kas gali pasiekti kurį išteklių, iš kurio galinio taško ir per kurį vykdymo tašką. Atsakykite į šiuos tris ir saugokite įrodymus kartu su sprendimu.