वैयक्तिक VPN वर कामाचा लॅपटॉप: प्रत्यक्षात काय पार होते

कंपनीचा लॅपटॉप घरच्या VPN ला जोडल्यास तो एकाच वेळी दोन ठिकाणी असतो, आणि मनोरंजक प्रश्न काळजी करणाऱ्या प्रश्नापेक्षा लहान आणि अधिक उपयुक्त आहे. कोणीही कार्यालय आणि घर यांमध्ये इथरनेट केबल टाकली नाही, आणि कोणताही मार्ग घरच्या नेटवर्कला कॉर्पोरेट सबनेटचा विस्तार करत नाही. जे अस्तित्वात आहे ते दोन्ही वातावरणांमध्ये प्रवेश असलेला एकच टोका आहे, आणि त्यांच्यामध्ये प्रत्यक्षात काय हलू शकते हे तीन स्वतंत्र यंत्रणा ठरवतात. टोकापासून बाहेरच्या दिशेने या तिन्हीतून जाणे लेबलांबद्दलच्या वादाऐवजी प्रशासकाला कृती करता येईल असे उत्तर देते.

नेटवर्क आकृतीपासून नाही, टोकापासून सुरुवात करा

दोन्ही कनेक्शन जिथे भेटतात ते टोक आहे, म्हणून तपासणी तिथूनच सुरू होते: कोणत्या प्रक्रिया चालतात, त्या कुठपर्यंत पोहोचू शकतात, आणि त्यांना कोण नियंत्रित करते. लॅपटॉपला जोडलेले दोन ढग दाखवणारी आकृती अचूक पण निरुपयोगी आहे, कारण ती असू नये अशी दुवा सुचवते. त्याऐवजी प्रत्येक वातावरणाशी बोलू शकणाऱ्या अनुप्रयोगांची यादी ठेवा, आणि प्रत्येक कोणत्या खात्याखाली चालते ते नोंदवा. ही चौकट तपासणी संतुलितही ठेवते, कारण दोन टनेल असलेला लॅपटॉप जोडलेल्या दोन नेटवर्कसारखी तीच वस्तू नाही.

ती यादी हीच उर्वरित तपासणी ज्या यादीवरून काम करते ती यादी आहे. त्यात सिंक क्लायंट, दोन्ही वातावरणांत साइन-इन केलेली ब्राउझर प्रोफाइल आणि क्रेडेन्शियल्स असलेला बिल्ड एजंट असल्यास तपासणीकडे तिचे विषय आधीच आहेत.

तीन क्रॉसिंग बिंदू, स्वतंत्रपणे तपासलेले

अनुप्रयोग प्रवेश हा पहिला क्रॉसिंग बिंदू आहे, आणि त्यास कोणत्याही फॉरवर्डिंगची गरज नाही. टोकावरचा ब्राउझर टॅब, सिंक क्लायंट किंवा बिल्ड एजंट एका वातावरणातील संसाधनातून वाचू शकतो आणि दुसऱ्या वातावरणातील संसाधनाकडे डेटा पाठवू शकतो. ऑपरेटिंग सिस्टम इंटरफेसदरम्यान पॅकेट फॉरवर्ड करते किंवा नाही यावर ही क्षमता अवलंबून नाही, आणि पूल नाही म्हणजे धोका नाही असा निष्कर्ष काढताना लोक जी यंत्रणा चुकवतात ती हीच. म्हणून इंटरफेसची यादी वाचण्यापेक्षा अनुप्रयोगांची यादी वाचणे अधिक माहितीपूर्ण आहे.

ओळख आणि डेटा दुसरा क्रॉसिंग बिंदू बनवतात. कॉर्पोरेट क्रेडेन्शियल्स, सत्र कुकीज, डाउनलोड केलेली कागदपत्रे आणि व्यवस्थापन अधिकार टोकावरच राहतात, आणि दुसऱ्या नेटवर्कशी जोडल्याने ते स्वतःच उघड होत नाहीत. जे बदलते ते म्हणजे ती क्रेडेन्शियल्स धरून असताना टोकावर प्रभाव टाकू शकणाऱ्या पक्षांचा संच, आणि हा राउटिंगबद्दलचा नाही तर वैयक्तिक नेटवर्कच्या विश्वासार्हतेबद्दलचा प्रश्न आहे. हा असा निर्णय आहे जो टोकाचा मालक एकटा घेऊ शकत नाही, आणि फॉरवर्डिंग नियमाच्या अभावाने त्याचे उत्तर मिळत नाही.

नेटवर्क फॉरवर्डिंग तिसरा आहे, आणि लॅपटॉपला ट्रान्झिट उपकरण बनवू शकणारा एकमेव. IP फॉरवर्डिंग, इंटरनेट कनेक्शन शेअरिंग, प्रॉक्सी किंवा ब्रिजिंग सुविधा प्रत्येकी हे करू शकते, आणि प्रत्येक एक सक्रिय किंवा निष्क्रिय संरचना आहे. VPN क्लायंटच्या उपस्थितीवरून अनुमान न काढता ती स्थिती थेट तपासा. व्यवस्थापित मशीनवर उत्तर सहसा नाही असते, आणि ते सत्यापित करणे गृहीतकाला नोंदवण्याजोग्या तथ्यात बदलते.

दोन नेटवर्क नाही, एक संसाधन मागा

बहुतेक प्रत्यक्ष गरजा सुरुवातीला दिसण्यापेक्षा अरुंद असतात: एक कन्सोल, एक फाइल शेअर, एक अंतर्गत वेब अनुप्रयोग. गरज तशीच सांगा आणि ती या टोकाशी संबंधित आहे का हे संसाधनाच्या मालकाने ठरवावे. दोन नेटवर्क जोडणे अशा स्वरूपातील विनंती मंजूर करणे कठीण आणि नाकारणे सोपे असते; एका नामनिर्देशित सेवेसाठीच्या विनंतीला उत्तर असते.

उत्तर होय असल्यास सर्वात अरुंद समर्थित मार्ग निवडा आणि तो संस्थेच्या विद्यमान नियंत्रणांमध्ये ठेवा. व्यवस्थापित दुसरी प्रोफाइल किंवा मर्यादित व्याप्तीची अनुप्रयोग नोंद देखरेख आणि धोरण टिकवते; स्पर्धक वैयक्तिक संरचना ती शांतपणे बदलते, आणि पुढील अद्ययावतानंतर कोण जिंकते हे कोणालाही माहीत नसते.

DNS आणि मार्गाचे परिणाम समाविष्ट करा

दुसरी प्रोफाइल सक्रिय होताच नाव-निराकरण बदलते. वैयक्तिक क्लायंट आपला रिझॉल्व्हर लादू शकतो, ब्राउझर आपला एन्क्रिप्टेड DNS वापरू शकतो, आणि धोरण सारणी अंतर्गत नावे कॉर्पोरेट संरचना अपेक्षित असलेल्या वेगळ्या सर्व्हरकडे पाठवू शकते. यापैकी कोणत्याहीला फॉरवर्डिंगची गरज नाही, आणि कोणतेही अंतर्गत होस्टनाव चुकीच्या ठिकाणी पाठवू शकते.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

दुसरी प्रोफाइल जोडण्यापूर्वी आणि नंतर ते तीन आउटपुट कॅप्चर करा. त्यांतील फरक हा प्रत्यक्षात वापरकर्त्यापर्यंत पोहोचणारा परिणाम आहे, आणि तो तिकिटात वर्णन केलेल्या राउटिंग बदलापेक्षा अनेकदा मोठा असतो. दोन्ही कॅप्चर ठेवा जेणेकरून नंतरच्या तपासकाराला काय बदलले हे दिसेल, काय अपेक्षित होते ते नाही.

पडताळणी करा आणि बाहेर पडण्याचा मार्ग ठेवा

मंजूर अनुप्रयोग त्याच मशीनवरील प्रशासक शेलमधून नाही, तर प्रत्यक्ष प्रक्रिया आणि वापरकर्ता संदर्भातून तपासा. त्यानंतर रचना जिथे मागते तिथे असंबंधित गंतव्ये पोहोच-अयोग्य राहतात याची खात्री करा: कोणीही न तपासलेली सीमा ही कोणीही दावा करू न शकणारी सीमा आहे. वैयक्तिक टनेल डिस्कनेक्ट केल्यास पूर्वीची स्थिती पुन्हा यायला हवी, आणि कोणीतरी अजून पाहत असतानाच ती पुनर्स्थापना तपासण्यासारखी आहे.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

शून्य-विश्वास स्थापत्य बद्दलचे NIST मार्गदर्शन इथे उपयुक्त आहे, कारण ते नेटवर्क स्थान स्वयंचलित विश्वासाचा स्रोत म्हणून काढून टाकते, आणि हाच इथला विवाद्य गृहीतक आहे. प्रश्न घरचे नेटवर्क स्वभावाने विश्वासार्ह आहे का हा नाही; प्रश्न असा आहे की कोण कोणत्या संसाधनापर्यंत, कोणत्या टोकाकडून, कोणत्या अंमलबजावणी बिंदूतून पोहोचू शकते. या तिन्हींचे उत्तर द्या, आणि निर्णयासोबत पुरावे ठेवा.