Maza biroja VPN: turiet to prom no domēna kontroliera

Trīs nosacījumi nosaka, vai biroja vienīgajam Windows serverim jāpabeidz arī VPN: cik daudz internetam vērstas programmatūras esat gatavs darbināt direktorijā, vai varat autentificēt attālos lietotājus bez šīs lomas, un kas notiek ar jūsu pārvaldības piekļuvi, kad resursdators startē no jauna. Ja kādam no trim ir slikta atbilde, atdaliet lomas. Tas, ka birojs ir mazs, maina budžetu, nevis risku.

Katra domeina iekārta uzticas domeina kontrolierim; VPN vārteja ir sasniedzama ikvienam internetā. Šī asimetrija ir viss arguments.

Divi darbi ar diviem atšķirīgiem pakļautības profiliem

Vārteja pieņem savienojumus no ārpuses, tāpēc tās klausītājs, TLS steks un autentifikācijas virsma ir sasniedzami no neuzticamiem tīkliem. Direktorijai ir vara, kurai uzticas citas iekārtas, tāpēc Microsoft sacietēšanas norādnes uzskata domeina kontroliera lomu un tā mitināšanas vidi par īpaši jutīgām. Katrs šim resursdatoram pievienotais serviss pārmanto direktorijas uzticības pozīciju un pievieno savu uzbrukuma virsmu. Instalēšanas ērtība nav uzticības robeža.

Lomu atdalīšana neiznīcina atkarības. Attālajiem lietotājiem joprojām vajadzīga autentifikācija, maršruti, DNS un piekļuves noteikumi, un vārteja, kas tos izlaiž, nav drošāka, tikai mazāk noderīga.

Autentifikācija bez direktorijas lomas

Vārteja var validēt akreditācijas datus, izmantojot atbalstītu ārēju integrāciju, nemitinot pašu direktoriju. Lai kāda būtu šī integrācija, dodiet tai kontu, kura tiesības atbilst mērķim: lasīt autentifikācijai nepieciešamos atribūtus, ne vairāk. VPN lietotāju uzņemšana nekad neprasa viņu parastos kontus pārvērst domeina administratoros, un nekad neprasa, lai vārteja glabātu direktorijas kopiju.

Pēc tam ierobežojiet tīkla ceļus, kas attālajam klientam patiešām vajadzīgi. Piekļuve vienam iekšējam failu servisam, kā arī nosaukumu izšķiršanas un identitātes servisi, no kuriem atkarīga šī darbplūsma, ir noteikta ceļu kopa. Tas nav iemesls atļaut katru domeina kontroliera portu vai katru administratīvo saskarni no VPN baseina.

Viens resursdators joprojām ir viens atteices domeins

Divi viesi uz viena hipervizora atdala savu operētājsistēmas konfigurāciju un neatdala savu likteni. Hipervizora administratori, virtuālā komutācija, krātuve un dublējumi paliek dizaina daļa, un resursdatora restartēšana noņem abus servisus vienlaikus. To saukt par augstu pieejamību tāpēc, ka diagrammā redzami divi VM, ir izplatīta un dārga kļūda. Ja vienīgais atceļš iet caur VPN uz šo resursdatoru, atteice atņem savienojumu, kas vajadzīgs tā labošanai.

Tāpēc plānojiet neatkarīgu pārvaldības ceļu, kas nav atkarīgs no tuneļa, un pierakstiet, kas paliek pieejams apkopes laikā. Plānojiet vārtejas atjauninājumus un direktorijas apkopi atsevišķi, atzīmējot, kurus lietotājus vai lietotnes skar katrs pārtraukums.

Apkopes logs, kas prasa, lai VPN būtu ieslēgts, lai salabotu VPN, nav apkopes logs.

Pārvietojiet to, neaizslēdzot sevi ārpusē

Ja lomas jau dala vienu instalāciju, izvairieties no steigas attālās migrācijas. Uzskaitiet, kas vārtejai šodien pieder: adreses, pāradresācijas noteikumi, NAT, DNS iestatījumi, autentifikācijas konfigurācija un visi publicētie servisi. Sagatavojiet gan aizstājēju, gan atceļu, pirms pārvietojat klausītāju vai maināt noklusējuma maršrutu. Pēc tam pārbaudiet parasta attālā lietotāja reālo darbu caur jauno robežu un apstipriniet, ka lieka administratīvā piekļuve joprojām neizdodas.

Mērķis nav skaistāka diagramma. Tā ir spēja salabot vai pārbūvēt VPN, neaiztiekot kasti, kas noenkuro direktorijas uzticību visam birojam. Tie ir atšķirīgi mērķi, un tikai vienam no tiem vajadzīgs otrs serveris.

Pierakstiet lēmumu jebkurā gadījumā, tostarp nosacījumus, kas to atkal atvērtu. Mazs birojs aug, un atbilde, kas derēja vienam serverim, var nederēt nākamajam.