Ажлын зөөврийн компьютер хувийн VPN-д: юу үнэхээр дамждаг

Компанийн зөөврийн компьютерыг гэрийн VPN-д холбох нь түүнийг нэгэн зэрэг хоёр газарт байрлуулдаг бөгөөд сонирхолтой асуулт нь түгшээсэн асуултаас жижиг бөгөөд илүү ашигтай. Хэн ч оффис ба гэрийн хооронд Ethernet кабель тавиагүй бөгөөд ямар ч маршрут гэрийн сүлжээг корпорацийн дэд сүлжээний өргөтгөл болгодоггүй. Байгаа зүйл бол хоёр орчинд хандах боломж бүхий нэг төгсгөлийн цэг бөгөөд тэдгээрийн хооронд үнэхээр юу хөдөлж чадахыг гурван тусдаа механизм шийддэг. Эдгээр гурвыг төгсгөлийн цэгээс гадагш явж үзэх нь шошгоны талаарх маргааны оронд администратор үйл ажиллагаа явуулж болох хариултыг өгдөг.

Сүлжээний диаграмаас биш, төгсгөлийн цэгээс эхэл

Төгсгөлийн цэг бол хоёр холболт уулзах газар тул хяналт тэндээс эхэлдэг: ямар процессууд ажиллаж байна, тэд юунд хүрч чадах вэ, хэн тэдгээрийг удирддаг вэ. Зөөврийн компьютерт холбогдсон хоёр үүл харуулсан диаграм нь үнэн зөв боловч хэрэггүй, учир нь байхгүй байж болох холбоосыг илэрхийлдэг. Үүний оронд орчин бүртэй харилцаж чадах програмуудын жагсаалтыг тавьж, тус бүр ямар бүртгэлийн дор ажилладагийг тэмдэглэ. Энэ хүрээ нь хяналтыг тэнцвэртэй байлгадаг, учир нь хоёр туннель бүхий зөөврийн компьютер холбогдсон хоёр сүлжээтэй ижил объект биш юм.

Энэ жагсаалт бол үлдсэн хяналт ажиллах бараа бүртгэл юм. Хэрэв дотор нь синхрончлолын клиент, хоёр орчинд нэвтэрсэн хөтчийн профайл, итгэмжлэл бүхий бүтээх агент байвал хяналт өөрийн сэдвүүдтэй болсон байна.

Гурван дамжуулах цэг, тус тусад нь хянасан

Програмын хандалт нь эхний дамжуулах цэг бөгөөд ямар ч дамжуулалт шаарддаггүй. Төгсгөлийн цэг дээрх хөтчийн таб, синхрончлолын клиент эсвэл бүтээх агент нь нэг орчны нөөцөөс уншиж, нөгөө орчны нөөц рүү өгөгдөл илгээж чадна. Энэ чадвар нь үйлдлийн систем интерфейсүүдийн хооронд пакет дамжуулж байгаа эсэхээс үл хамааран оршдог бөгөөд гүүр байхгүй гэдэг нь эрсдэл байхгүй гэсэн дүгнэлтэд хүрэх үед хүмүүсийн анзааралгүй өнгөрдөг механизм нь яг энэ юм. Тиймээс интерфейсийн жагсаалтыг уншихаас илүү програмуудын жагсаалтыг унших нь илүү мэдээлэлтэй.

Идентификаци ба өгөгдөл хоёр дахь дамжуулах цэгийг бүрдүүлнэ. Корпорацийн итгэмжлэл, сессийн күүки, татсан баримт бичиг, удирдлагын эрх нь төгсгөлийн цэг дээр амьдардаг бөгөөд өөр сүлжээнд нэгдэх нь тэдгээрийг өөрөө илчилдэггүй. Өөрчлөгдөх зүйл нь тэдгээр итгэмжлэлийг хадгалах хугацаанд төгсгөлийн цэгт нөлөөлж болох талуудын багц бөгөөд энэ нь маршрутчлалын тухай биш, хувийн сүлжээний найдвартай байдлын тухай асуулт юм. Энэ нь төгсгөлийн цэгийн эзэн ганцаараа гаргаж чадахгүй шийдвэр бөгөөд түүнд дамжуулалтын дүрэм байхгүй байх нь хариулт болохгүй.

Сүлжээний дамжуулалт нь гурав дахь бөгөөд зөөврийн компьютерыг дамжин өнгөрөх төхөөрөмж болгож чадах цорын ганц зүйл юм. IP дамжуулалт, интернэт холболтыг хуваалцах, прокси эсвэл гүүрийн функц нь үүнийг хийж чадна бөгөөд тус бүр нь асаалттай эсвэл асаалтгүй тохиргоо юм. VPN клиент байгаа эсэхээс дүгнэлт хийхийн оронд тэр төлөвийг шууд шалга. Удирдлагатай машинд хариулт нь ихэвчлэн үгүй бөгөөд үүнийг баталгаажуулах нь таамаглалыг бүртгэх үнэ цэнэтэй баримт болгоно.

Хоёр сүлжээ биш, нэг нөөц хүс

Бодит шаардлагын дийлэнх нь эхэндээ харагдахаас нарийн байдаг: нэг консол, нэг файл хуваалцалт, нэг дотоод вэб програм. Шаардлагыг тэгж хэлж, энэ төгсгөлийн цэгт хамаарах эсэхийг нөөцийн эзэн өөрөө шийдэг. Хоёр сүлжээг нэгтгэх гэж томьёолсон хүсэлтийг зөвшөөрөхөд хэцүү, татгалзахад амар; нэг нэрлэсэн үйлчилгээний хүсэлтэд хариулт байдаг.

Хариулт нь тийм бол хамгийн нарийн дэмжигдсэн замыг сонгож, байгууллагын одоо байгаа хяналтын хүрээнд байлга. Удирдлагатай хоёр дахь профайл эсвэл хязгаарлагдмал хамрах хүрээтэй програмын бүртгэл нь хяналт, бодлогыг хадгалдаг; өрсөлдөгч хувийн тохиргоо тэдгээрийг чимээгүйгээр орлуулж, дараагийн шинэчлэлтийн дараа аль нь ялахыг хэн ч мэдэхгүй.

DNS болон маршрутын нөлөөг оруул

Хоёр дахь профайл идэвхтэй болсон агшинд нэрийн шийдэл өөрчлөгдөнө. Хувийн клиент өөрийн шийдэгчийг тулгаж болно, хөтөч өөрийн шифрлэгдсэн DNS-ийг ашиглаж болно, бодлогын хүснэгт дотоод нэрийг корпорацийн тохиргооны хүлээж байгаагаас өөр сервер рүү чиглүүлж болно. Эдгээрийн аль нь ч дамжуулалт шаарддаггүй бөгөөд аль нь ч дотоод хост нэрийг буруу газар илгээж чадна.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Тэдгээр гурван гаралтыг хоёр дахь профайл холбогдохын өмнө болон дараа нь баривчлан ав. Тэдгээрийн хоорондын ялгаа нь хэрэглэгчид үнэхээр хүрдэг нөлөө бөгөөд энэ нь тасалбарт дүрсэлсэн маршрутын өөрчлөлтөөс ихэвчлэн том байдаг. Хоёр бичлэгийг хадгал, ингэснээр дараагийн хянагч юу өөрчлөгдсөнийг харна, юу бодож байсныг биш.

Баталгаажуулж, гарах замаа хадгал

Зөвшөөрөгдсөн програмыг ижил машины администраторын бүрхүүлээс биш, бодит процесс болон хэрэглэгчийн орчноос туршиж үз. Дараа нь дизайн шаарддаг газруудад холбоогүй очих газрууд хүрэх боломжгүй хэвээр байгааг батал. Хэн ч туршаагүй хил бол хэн ч дурдаж чадахгүй хил юм. Хувийн туннелийг салгахад өмнөх төлөв сэргэх ёстой бөгөөд тэр сэргэлтийг хэн нэгэн хараад байх үед шалгах нь зүйтэй.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-ийн тэг итгэлцлийн архитектур тухай заавар энд ашигтай, учир нь энэ нь сүлжээний байршлыг итгэлцлийн автомат эх сурвалж гэдгээс хасдаг бөгөөд энэ нь яг хэлэлцэж буй таамаглал юм. Асуулт нь гэрийн сүлжээ байгалиасаа найдвартай эсэх биш; асуулт нь хэн аль нөөцөд, аль төгсгөлийн цэгээс, аль хэрэгжүүлэх цэгээр хүрч чадах вэ гэдэг юм. Эдгээр гуравт хариулж, нотолгоог шийдвэрийн хамт хадгал.