Darba VPN Saūda Arābijā: trīs jautājumi pirms piekļuves pieprasīšanas

Noraidīta otrā pieteikšanās vai bloķēta iekšēja lietotne reti norāda uz salauztu tuneli. Darba VPN piemēro trīs atsevišķas lietas: ko konts var sasniegt, cik sesijas tas var noturēt un kuri iekšējie pakalpojumi ir publicēti attālinātiem lietotājiem. Uzdodiet šos trīs jautājumus pēc kārtas, jo katram ir cits īpašnieks. Publicēts ietvars, piemēram, NCA attālinātā darba ieviešanas vadlīnijas, ir noderīgs sarunas ietvars, nevis spriedums par kāda juridisko stāvokli.

Pirmkārt: ko šis konts drīkst sasniegt?

Piekļuves tiesības nosaka sistēmas jutīgums, piekļuves līmenis un atļautais ierīces tips, un tie ir organizatoriski lēmumi, nevis tuneļa īpašības. Paroles piederība atbild tikai uz to, vai savienojumu drīkst izveidot. Tas nepasaka, vai konts drīkst atvērt dokumentu, administrēt serveri vai mainīt kontrolieri. Pieprasiet paredzēto resursu un darbību, nevis piekļuvi visam tīklam.

Pieprasījumu, kas formulēts kā galamērķis, ir vieglāk apstiprināt nekā tādu, kas formulēts kā sajūta. Tāpēc pirmais jautājums ir par resursu, nevis par tīklu.

NCA 2-2-1-1 saista piekļuves tiesības tieši ar šīm trim dimensijām, tāpēc atbildei jānosauc sistēma un darbība. Tā pati loģika parādās nulles uzticēšanās vadlīnijās: atrašanās vieta tīklā nav autorizācija. Lietotājs uzņēmuma VPN un lietotājs mājas savienojumā abi var būt autentificēti, un lietotne joprojām izlemj, ko katrs drīkst darīt.

Otrkārt: cik sesijas var darboties vienlaikus?

Vienlaicīga attālinātā piekļuve ir atsevišķa kontrole, un NCA 2-2-1-2 to aptver kopā ar izņēmumu apstiprināšanas ceļu. Organizācijas to bieži ierobežo, dažkārt līdz vienai aktīvai sesijai uz kontu. Ierobežojums ir operatora noteikts politikas skaitlis, nevis protokola konstante, tāpēc neviens ārpus organizācijas nevar pateikt vērtību. Novecojusi sesija, ko neviens nevar aizvērt, pati par sevi ir operacionāla problēma, par ko ir vērts ziņot.

Ja otrais portatīvais dators tiek noraidīts, parastais skaidrojums ir pirmā sesija. Jautājiet, kā operators identificē sesijas un kā tiek aizvērtas novecojušās; dažas sistēmas ļauj neaktīvai sesijai beigties, citas to tur, līdz tā tiek skaidri pārtraukta. Neinstalējiet klientu no jauna, nemainiet profilu un nemainiet izejas, pirms šī atbilde nav saņemta.

Treškārt: kuri iekšējie pakalpojumi ir publicēti?

Attālinātā piekļuve parasti publicē noteiktu pakalpojumu, protokolu un portu kopumu, un NCA 2-4-1-1 notur šo kopumu tajā, kas attālinātajam darbam patiešām vajadzīgs. Saraksts ir mazāks par privāto tīklu, un tas ir apzināti. Jautājiet, kurš pakalpojums un ports jums vajadzīgs, nevis pieprasiet plašu sasniedzamību, jo plašu pieprasījumu ir grūtāk pamatot un daudz grūtāk vēlāk pārskatīt.

Atbalsta pieprasījumā jābūt konta lomai, apstiprinātajai ierīcei, mērķa pakalpojumam, kļūmes laikam un ne slepenam kļūdas tekstam. Nosūtiet to organizācijas kanālā, nevis tam, kas grupā atbild pirmais. Tas ir pietiekami, lai īpašnieks pārbaudītu politiku un žurnālus. Paroles, atkopšanas kodi un privātās atslēgas tajā neietilpst.

Ko darīt, ja atbilde ir nē

Atteikums bieži ir apjoma neatbilstība, nevis drošības spriedums. Pakalpojums var būt publicēts tikai biroja adresēm, vai lomai var trūkt darbības, lai gan tunelis darbojas. Jautājiet, kurš no trim jautājumiem neizdevās, un risinājums parasti kļūst acīmredzams. Ja nepieciešams izņēmums, lūdziet īpašniekam to reģistrēt, nevis apiet.

Neaizņemieties kolēģa sesiju, neizslēdziet klienta pārbaudi un nevadiet trafiku caur neapstiprinātu izeju, lai tests izietu. Katrs no tiem aizstāj auditējamu atteikumu ar panākumiem, ko neviens nevar auditēt, un nākamā pārskatīšana atradīs atšķirību. Apstiprinātais izņēmums ir lēnāks un iztur auditu.

Jautājumi, ko nest īpašniekam

Pierakstiet tos pirms zvana: kādiem resursiem un darbībām šis konts ir apstiprināts, kāda ir vienlaicīgu sesiju politika un kā tiek tīrītas novecojušas sesijas, un kuri iekšējie pakalpojumi un porti ir publicēti attālinātiem lietotājiem. Lūdziet īpašniekam apstiprināt pašreizējo piemērojamību, jo vadlīnijas tiek pārskatītas un iekšējā politika var būt stingrāka par publicēto bāzi. Pievienojiet ierīces prasību, ja organizācijai tāda ir.

Kontroles ietvars palīdz uzdot precīzus jautājumus. Tas neautorizē darbību un neaizstāj operatora atbildi.

Atnesiet atbildes atpakaļ tam pašam īpašniekam, kad tiek ierosinātas nākamās izmaiņas. Tas pārvērš vienreizēju apstiprinājumu politikā, ko kāds uztur.