VPN пристап за клиенти: дајте ѝ на привилегираната работа сопствен уред

Профилот за врска вели Production, тунелот се крева и секој прозорец на работната површина сега може да стигне до системите на клиентот. Ништо во таа низа не ја одвои привилегираната сесија од соседното јазиче на прелистувачот. VPN профилот е име плус збир патеки; границата што навистина ви е важна се гради од идентитет на уред, контролирана околина за извршување и пат за акредитиви. Тие три се спроведуваат на различни места, затоа додавањето на едно и прескокнувањето на другите дава решение што изгледа усогласено, а не е.

Името на профилот не е граница

Клиентот ги применува патеките и DNS-конфигурацијата кога тунелот се крева, и сè што потоа работи на тој сметач наследува и двете.

Името во паѓачко мени го менува тоа што операторот го препознава, а не тоа што оперативниот систем го дозволува.

Идентитетот на уредот е она што портата може да го провери

Порта што поддржува сертификати за уреди или проверки на состојбата го автентицира и сметачот и лицето. Тоа е слојот што може да одбие врска од ненадгледуван преносен сметач пред некој да внесе лозинка. Ви дава и нешто конкретно за отповикување кога уредот ќе се загуби. Копирањето на еден сертификат на три сметачи го отстранува токму тоа својство, затоа животниот циклус на сертификатот припаѓа во договорот, а не во споделена папка.

Клиентот одлучува кои од тие контроли ги бара неговата политика, а виртуелна машина изградена од добавувач може воопшто да не ја исполни проверката на состојбата.

Каде границата на виртуелната машина пропушта

Виртуелната машина ги држи алатките на клиентот и состојбата на мрежата заедно и тоа е навистина корисно. Но зависи и од својот домаќин и од хипервизорот, а неколку погодности ја преминуваат границата: споделени папки, интеграција на таблата за отсекување, агенти за акредитиви и административен пристап на ниво на домаќин. Привилегиран гостин на секојдневно користен домаќин не е независно доверлив, бидејќи домаќинот може да набљудува што прави гостинот. Третирајте ја виртуелната машина како контрола што ја намалува изложеноста, а не како одделен безбедносен домен.

Наменски физички уред ја отстранува зависноста од домаќинот и наместо неа додава обврска за одржување.

Акредитиви и патеки за пренос

Користете поединечни, отповикливи идентитети за секој инженер и за секој клиент и држете ги надвор од личните профили на прелистувачот и историјата на разговори. Акредитивите што ги дели цел тим не можат чисто да се припишат, ротираат или отповикаат. Определете ја патеката за пренос на алатки, датотеки и дијагностички излез пред првата сесија, бидејќи спонтаното преместување датотеки е начинот на кој една граница тивко престанува да биде граница. Ако двајца клиенти треба да се достигнат истовремено, прво добијте одобрување за разделување на мрежата и идентитетот.

Никогаш не поврзувајте две клиентски мрежи преку една работна станица само затоа што тоа попладне беше погодно.

Договорот што го прави повторлив

Напишете краток запис за секој клиент и чувајте го таму каде што двете страни можат да го најдат. Во него треба да бидат наведени одобрениот уред или далечинската околина и кој ја одржува, дозволените идентитети, системите и операциите до кои можат да стигнат, патеката за пренос и вообичаениот начин на кој завршува сесијата.

Пет реда што некој ги прегледува кога лице доаѓа или заминува победуваат политика што никој не може да ја примени:

• Одобрен уред или далечинска околина, со именуван сопственик на одржувањето.
• Поединечни кориснички и идентитети на уред дозволени за поддршка.
• Системи и операции до кои тие идентитети можат да стигнат.
• Дозволена патека за алатки, датотеки и дијагностички излез.
• Процес за завршување на сесијата и овластена итна алтернатива.

Итен пристап без преместување на акредитивите

Кога контрола блокира итен поправка, патот е процесот на исклучок, а не втор преносен сметач со истите акредитиви. Одобрениот исклучок запишува кој го овластил, што е олеснето и кога завршува. Преместувањето на акредитив на секојдневен сметач ја менува границата во најлошиот можен момент и обично останува променета потоа. Итната патека заслужува вежба додека ништо не е расипано.

Потоа завршете ја сесијата како што вели договорот и потврдете дека пристапот навистина запрел.