VPN за мала канцеларија: држете го подалеку од контролерот на домен

Три услови одлучуваат дали единствениот Windows сервер на канцеларијата треба да го завршува и VPN: колку софтвер свртен кон интернет сте подготвени да извршувате на директориумот, дали можете да автентификувате далечински корисници без таа улога, и што се случува со вашиот административен пристап кога домаќинот се рестартира. Ако некој од трите има лош одговор, одделете ги улогите. Тоа што канцеларијата е мала го менува буџетот, не ризикот.

Секој компјутер во доменот му верува на контролерот на домен; VPN портата е достапна за секого на интернет. Таа асиметрија е целиот аргумент.

Две работи со два различни профила на изложеност

Портата прима врски однадвор, па нејзиниот слушател, TLS стекот и површината за автентикација се сите достапни од недоверливи мрежи. Директориумот држи авторитет во кој веруваат другите машини, затоа упатствата за зацврстување на Microsoft ја третираат улогата контролер на домен и неговата околина за хостирање како особено чувствителни. Секоја услуга додадена на тој домаќин ја наследува позицијата на доверба на директориумот и додава сопствена површина за напад. Практичноста на инсталацијата не е граница на доверба.

Одвојувањето на улогите не ги отстранува зависностите. На далечинските корисници сѐ уште им требаат автентикација, рути, DNS и правила за пристап, а портата што ги прескокнува не е посигурна, само помалку корисна.

Автентикација без улогата на директориум

Портата може да валидира акредитиви преку поддржана надворешна интеграција без хостирање на самиот директориум. Каква и да е таа интеграција, дајте ѝ сметка чии права одговараат на целта: читање на атрибутите потребни за автентикација, ништо повеќе. Примањето VPN корисници никогаш не бара нивните обични сметки да станат администратори на домен и никогаш не бара портата да држи копија од директориумот.

Потоа ограничете ги мрежните патеки што на далечинскиот клиент навистина му требаат. Пристапот до една внатрешна датотечна услуга, плус услугите за разрешување имиња и идентитет од кои зависи тој работен тек, е дефинирано множество патеки. Тоа не е причина да се дозволи секој порт на контролерот на домен или секое административно сучелје од VPN базенот.

Еден домаќин е сѐ уште еден домен на отказ

Два госта на еден хипервизор ја одвојуваат нивната конфигурација на оперативниот систем и не ја одвојуваат нивната судбина. Администраторите на хипервизорот, виртуелното преклопување, складирањето и резервните копии остануваат дел од дизајнот, а рестартирањето на домаќинот ги отстранува двете услуги одеднаш. Да се нарече тоа висока достапност затоа што дијаграмот покажува две VM е честа и скапа грешка. Ако единствениот пат назад оди преку VPN на тој домаќин, отказот ја одзема врската потребна за негово поправање.

Затоа планирајте независна административна патека што не зависи од тунелот, и запишете што останува достапно за време на одржувањето. Планирајте ги ажурирањата на портата и одржувањето на директориумот одделно, забележувајќи кои корисници или апликации ги засегнува секое прекинување.

Прозорец за одржување што бара VPN да биде активен за да се поправи VPN не е прозорец за одржување.

Преместете го без да се заклучите надвор

Ако улогите веќе делат една инсталација, избегнете избрзана далечинска миграција. Направете попис на она што портата го поседува денес: адреси, правила за препраќање, NAT, DNS поставки, конфигурација за автентикација и сите објавени услуги. Подгответе и замената и патот назад пред да го преместите слушателот или да промените стандардна рута. Потоа тестирајте ја вистинската работа на обичен далечински корисник низ новата граница и потврдете дека непотребниот административен пристап сѐ уште не поминува.

Целта не е поубав дијаграм. Тоа е способноста да се поправи или изгради повторно VPN без допирање на кутијата што ја закотвува довербата на директориумот за целата канцеларија. Тоа се различни цели и само една од нив бара втор сервер.

Запишете ја одлуката во секој случај, вклучително и условите што би ја отвориле повторно. Малата канцеларија расте, а одговорот што одговараше на еден сервер можеби нема да одговара на следниот.