Работен лаптоп на личен VPN: што навистина преминува

Поврзувањето на компаниски лаптоп со домашен VPN го става на две места истовремено, а интересното прашање е помало и покорисно од вознемирувачкото. Никој не поставил Ethernet кабел меѓу канцеларијата и домот, и ниту една рута не ја прави домашната мрежа продолжение на корпоративната подмрежа. Она што постои е една крајна точка со пристап до двете средини, а три одделни механизми одлучуваат што навистина може да се движи меѓу нив. Прегледот на тие три, од крајната точка кон надвор, дава одговор на кој администраторот може да дејствува наместо расправа за етикети.

Започнете од крајната точка, не од мрежната шема

Крајната точка е местото каде што се среќаваат двете врски, па токму таму започнува прегледот: кои процеси работат, до што можат да стигнат и кој ги контролира. Шемата што прикажува два облака поврзани со лаптоп е точна и бескорисна, бидејќи навестува врска што можеби не постои. Заменете ја со список на апликациите што можат да разговараат со секоја средина и забележете под кој профил работи секоја. Таа рамка го држи прегледот и сразмерен, бидејќи лаптоп со два тунела не е истиот објект како две поврзани мрежи.

Тој список е пописот од кој работи остатокот од прегледот. Ако содржи клиент за синхронизација, профил на прелистувач најавен во двете средини и агент за изградба со акредитиви, прегледот веќе ги има своите предмети.

Три преминни точки, разгледани одделно

Пристапот на апликациите е првата преминна точка и не бара никакво препраќање. Картичка во прелистувач, клиент за синхронизација или агент за изградба на крајната точка можат да читаат од ресурс во едната средина и да испратат податоци до ресурс во другата. Таа способност постои без оглед на тоа дали оперативниот систем препраќа пакети меѓу интерфејсите, и тоа е механизмот што луѓето го пропуштаат кога заклучуваат дека без мост нема ризик. Затоа читањето на списокот на апликации е поинформативно од читањето на списокот на интерфејси.

Идентитетот и податоците ја сочинуваат втората преминна точка. Корпоративните акредитиви, колачињата за сесија, преземените документи и управувачките права живеат на крајната точка, а приклучувањето кон друга мрежа само по себе не ги открива. Она што се менува е множеството страни што би можеле да влијаат на крајната точка додека таа ги држи тие акредитиви, а тоа е прашање за доверливоста на личната мрежа, а не за рутирањето. Тоа е проценка што сопственикот на крајната точка не може да ја донесе сам, и на неа не одговара отсуството на правило за препраќање.

Мрежното препраќање е третото и единственото што може да го претвори лаптопот во транзитен уред. IP препраќањето, споделувањето интернет врска, прокси или функција за мост можат да го сторат тоа, и секое е поставка што е или вклучена или не. Проверете ја таа состојба директно наместо да ја изведете од присуството на VPN клиент. На управувана машина одговорот обично е не, а неговата проверка ја претвора претпоставката во факт што вреди да се запише.

Побарајте еден ресурс, не две мрежи

Повеќето вистински барања се потесни отколку што изгледаат на почетокот: една конзола, едно споделување датотеки, една внатрешна веб-апликација. Формулирајте го барањето така и оставете сопственикот на ресурсот да одлучи дали воопшто припаѓа на оваа крајна точка. Барањето формулирано како спојување на две мрежи тешко се одобрува и лесно се одбива; барањето за една именувана услуга има одговор.

Ако одговорот е да, претпочитајте го најтесниот поддржан пат и задржете го во рамките на постојните контроли на организацијата. Управуван втор профил или запис за апликација со ограничен опфат ги задржуваат надзорот и политиката; конкурентна лична конфигурација тивко ги заменува, и никој не знае која победува по следното ажурирање.

Вклучете ги ефектите врз DNS и рутите

Резолуцијата на имиња се менува во моментот кога вториот профил е активен. Личен клиент може да наметне свој резолвер, прелистувачот може да користи сопствен шифриран DNS, а табелата на политики може да ги насочи внатрешните имиња кон друг сервер од оној што го очекува корпоративната конфигурација. Ништо од тоа не бара препраќање, и било што од тоа може да испрати внатрешно име на домаќин на погрешно место.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Забележете ги тие три излези пред и по поврзувањето на вториот профил. Разликата меѓу нив е ефектот што навистина стигнува до корисникот, и често е поголем од промената на рутирањето што ја опишува тикетот. Зачувајте ги двете снимки за да може подоцнежен прегледувач да види што се сменило, а не што било наменето.

Проверете и задржете излез

Тестирајте ја одобрената апликација од вистинскиот процес и кориснички контекст, а не од администраторска школка на истата машина. Потоа потврдете дека неповрзаните дестинации остануваат недостапни таму каде што дизајнот го бара тоа: граница што никој не ја тестирал е граница на која никој не може да се повика. Исклучувањето на личниот тунел треба да ја врати претходната состојба, и тоа враќање вреди да се провери додека некој гледа.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Упатствата на NIST за архитектура на нулта доверба се корисни овде затоа што ја отстрануваат мрежната локација како автоматски извор на доверба, што е токму претпоставката за која станува збор. Прашањето не е дали домашната мрежа е доверлива по природа; туку кој до кој ресурс може да стигне, од која крајна точка и низ која точка на спроведување. Одговорете на тие три и чувајте ги доказите со одлуката.