Предложете уред за далечински пристап што сопственикот на мрежата може да го одобри

Уред за далечински пристап ја менува границата на мрежата на клиентот дури и кога се поврзува нанадвор и не бара никакво влезно проследување на порти. Токму насоката нанадвор го прави лесен за инсталирање и лесен за превидување. Претставете го како барање за дизајн на пристап пред да влезе во мрежата. Претставувањето како нешто што не требало да се спомене е начинот на кој технички успех станува договорен проблем.

Претпоставете дека сопственикот на мрежата ќе постави четири прашања: што, кој, колку далеку и како го враќаме.

Побарајте го ресурсот, не подмрежата

Опишете ја работата со термините што ги користи сопственикот: кое лице има потреба од која услуга, на кој уред и колку долго. Барање ограничено на една апликација на еден домаќин е лесно за одобрување. Барање за подмрежа е барање за преорганизирање на нечија сегментација.

Можно е клиентот веќе да работи со одобрен VPN, порта за далечински работен плот или управуван канал за поддршка што ја задоволува потребата. Проверете го тоа прво, бидејќи повторното користење на постоечка патека е обично најевтиниот одговор за двете страни. Ако не одговара, кажете точно зошто. Тоа споредување е најсилниот дел од предлогот.

Ако уредот навистина е потребен, донесете го неговиот сопственик, изворот на софтверот, процесот на ажурирање и предвидената точка на инсталација.

Покажете ја врската и каде завршува довербата

Нацртајте го уредот, далечинскиот корисник, секој посредник или реле и заштитениот ресурс. Означете каде завршува шифрирањето и кој управува со секоја крајна точка. Излезната сесија сепак воведува нова контролна патека, и токму на дијаграмот тоа станува видливо. Да се каже дека сообраќајот е шифриран одговара на прашање за доверливост и на ниту едно прашање за авторизација.

Наведете го режимот експлицитно: проследување пакети, прокси за апликации или изложен работен плот. Секој има различни последици за рутирањето и безбедноста на домаќинот и секој пропаѓа поинаку кога уредот ќе биде компромитиран.

Држете ги неповрзаните клиентски мрежи и сопствениот административен интерфејс на уредот надвор од одобрениот опфат.

Одвојте го идентитетот на корисникот од идентитетот на уредот

Регистрацијата на корисници, идентитетот на уредот, повеќефакторското автентицирање и најавувањето во апликацијата се четири различни контроли, и предлогот треба да ја наведе секоја. Споделените акредитиви се вообичаената кратенка и го оставаат сопственикот неспособен да отповика едно лице без да ги вознемири сите. Најавувањето треба да остане кај апликацијата. Уредот автентицира врска; услугата одлучува што смее таа врска да прави.

Архитектурата на нулта доверба на NIST е корисна овде зашто пристапот до ресурси го третира како експлицитна одлука, а не како последица од местоположбата во мрежата.

Договорете восстановување и отстранување пред инсталацијата

Сопственикот треба да може брзо да го исклучи пристапот преку контрола што сам ја управува, а не преку телефонски повик до вас. Запишете го отповикувањето на акредитивите, отстранувањето на уредот, одговорноста за ажурирања и датумот на истекување или преглед. Зачувајте локална патека за восстановување што не зависи од новиот далечински канал. Уред што никој не може да го отстрани без добавувачот е трајна зависност маскирана како погодност.

Водете евиденција сразмерно: одобрени идентитети, опфат на пристап, значајни промени и релевантни дефекти.

Собирање на неповрзана историја на прелистување за да се докаже дека уредот постои не е доказ за добро работење и создава обврска што сопственикот никогаш не ја побарал.

Како изгледа успешно одобрување

Прифатете го дизајнот заедно со сопственикот со една дозволена услуга и еден ресурс што мора да остане одбиен. Таа втора половина е делот што луѓето го прескокнуваат и тоа е единствениот дел што докажува дека границата стои таму каде што вели дијаграмот. Тестирајте го отповикувањето на ист начин, пред уредот да носи вистинска работа. Ако одобрувањето е задржано, користете ја одобрената алтернатива на клиентот или завршете ја работата локално.

Работна врска не е дозвола да се создаде патеката за пристап.

Запишете го одобрувањето со неговиот опфат и рок и предадете копија на сопственикот. Следното лице што ќе ја допре таа мрежа ќе го прочита записот, а не вашето сеќавање на разговорот.