Centralizējiet partneru VPN piekļuvi, nepievienojot partnerus

Piedāvājums ir saprātīgs: pieci partneru tuneļi izkaisīti pa duci klēpjdatoru, pieci klientu versiju komplekti, piecas atbalsta dienesta skriptu kopas un viens inženieris, kurš zina, kā tie visi sader kopā. Pārcelšana uz kontrolētu piekļuves līmeni novērš galapunktu izkaisītību. Taču tā rada arī jaunu objektu arhitektūrā — koplietotu piekļuves pakalpojumu, kuram tagad nepieciešams savs autorizācijas modelis. Un neveiksme, kuru visi nenovērtē, ir centrālā iekārta ar ieslēgtiem visiem tuneļiem, kas klusi pārvēršas tranzīta tīklā starp organizācijām, kuras nekad nav vienojušās būt kaimiņos. Šis risks ir projektēšanas izvēle, nevis kaut kas, ko aparatūra dara pati. Tālāk aprakstītais darbs ir veids, kā saglabāt ērtības, nepieņemot nejaušo blakusefektu.

Sāciet ar līgumu, kuru katrs partneris jau ir parakstījis

Pirms jebkādas konfigurācijas pārliecinieties, vai partneris vispār atļauj koplietotu vārteju vai vietnes savienojumu. Personīgais attālinātās piekļuves konts, ierīces stāvokļa prasība vai interaktīva MFA plūsma var nebūt pārnesama uz bezuzraudzības koplietotu tuneli, un darbinieku savākšana aiz vienas nokopētas klienta identitātes ir tāda saīsne, kas pastāv līdz brīdim, kad partneris revidē savus žurnālus. Katram atļautajam savienojumam pierakstiet galamērķa diapazonus, privātos DNS domēnus, atļautos iekšējos avotus, autentifikācijas atbildīgo un to, kas jādara, ja tunelis sabojājas. Lūdziet partneri rakstiski apstiprināt koplietoto savienojumu, tostarp avota diapazonus, ko viņš pieņems. Mutisks apstiprinājums parasti maina nozīmi tajā nedēļā, kad mainās viņa drošības komanda.

Šis ieraksts ir rezultāts. Ja nevarat to uzrakstīt vienam partnerim, šis partneris nav gatavs centralizācijai.

Maršrutējiet pēc konteksta, nevis tikai pēc galamērķa

Divi partneri agrāk vai vēlāk izmantos vienu un to pašu privāto diapazonu, jo katra organizācija izvēlas no vienas un tās pašas RFC 1918 telpas. Viena parasta maršrutēšanas tabula nevar izvēlēties pareizo partneri tikai pēc galamērķa adreses, tāpēc pārklājošiem diapazoniem vajadzīgi atsevišķi maršrutēšanas konteksti vai cits saskaņots risinājums. Pāradresācijas domēna modelis RFC 4364 apraksta, kāpēc šī atdalīšana ir svarīga, un izvietojumam nav jāizmanto MPLS, lai tā vārtejas platformai pieprasītu to pašu īpašību.

Uzdodiet platformai tiešu jautājumu: vai divi partneri var koplietot vienu galamērķa prefiksu un joprojām tikt atšķirti pēc tā, no kura darbinieka konteksta sesija nāca? Ja atbilde ir nē, šis ierobežojums nosaka projektu vairāk nekā jebkurš pārdevēja funkciju saraksts.

Kur atbilde ir jā, maršrutēšanas konteksts kļūst par to, ko dokumentējat un testējat, jo traceroute to neuzrāda.

Izlemiet, ko darbinieks ievada un ko partneris reģistrē žurnālā

Daļa partnera darba atbilst lietojumprogrammu starpniekserverim vai attālinātai darbvietai, kas atvērta šī partnera kontekstā. Citam darbam vajadzīga maršrutēta tīkla piekļuve no apstiprināta darbinieku segmenta, un abi rada atšķirīgas avota adreses un atšķirīgas audita pēdas tālajā galā. Koplietota pārveidotā avota adrese var apmierināt atļauto sarakstu, vienlaikus slēpjot, kura ierīce ko darīja, tāpēc saglabājiet uzticamu darbinieka un sesijas atbilsmi un paturiet lietojumprogrammas autentifikāciju, nevis uzskatiet vārtejas adresi par identitāti — tas ir ērti tieši līdz brīdim, kad partneris jautā, kas to izdarīja.

Pēc tam izstaigājiet vienu reālu uzdevumu no darbinieka puses: ko viņš noklikšķina, ko viņam prasa ievadīt un ko partneris redzētu, ja lūgtu žurnāla ierakstu. Ja šo izstaigājumu nevar atkārtot, projekts nav pabeigts.

Nepārprotami aizliedziet tranzītu starp partneriem

Koplietotai aparatūrai nekad nevajadzētu nozīmēt koplietotu uzticēšanos. Pievienojiet aizliegumu kā apzinātu noteikumu ar nosauktu atbildīgo, nevis kā iztrūkstošas konfigurācijas nejaušību, un pārbaudiet to no abām pusēm ar pieprasījumu, kas citādi izdotos. Pārbaude ir svarīga, jo atļauju, kas vienkārši nav ierakstīta, var atjaunot nākamais inženieris, kurš pievieno maršrutu, lai novērstu nesaistītu sūdzību.

Ierakstiet aizliegumu partnera ierakstā blakus atļaujām, lai nodoms pārdzīvotu personāla maiņu.

Uzturiet to kā koplietotu pakalpojumu, nevis kā lielāku klēpjdatoru

Tuneļa atjaunošana, akreditācijas datu rotācija, jauda un vārtejas nomaiņa tagad visas kļūst par koplietota pakalpojuma izmaiņām, kas nozīmē, ka tām vajadzīgs grafiks un saziņas ceļš, kāds atsevišķiem klēpjdatoriem nekad nav bijis vajadzīgs. Partnera sertifikāta izbeigšanās sestdienā vairs nav viena lietotāja pārtraukums; tas ir visu šī partnera sesiju pārtraukums uzreiz.

Pieņemiet līmeni tikai tad, kad liegtais starppartneru pieprasījums neizdodas tieši tā, kā paredzēts, un atļautais darbinieka pieprasījums sasniedz pareizo galamērķi ar pareizo avotu. Klēpjdatoru sadursmju novēršana, saglabājot katra partnera robežu neskartu, ir visa būtība; projekts, kurā katrs attālinātais prefikss ir sasniedzams no katra galda, vienkārši ir pārcēlis problēmu.

Turiet nelielu tabulu ar partneri, kontekstu, atļautajiem diapazoniem un atbildīgo. Tā būs pirmā lieta, ko jebkurš pieprasīs incidenta laikā.