VPN pejabat kecil: jauhkan daripada pengawal domain

Tiga keadaan menentukan sama ada satu-satunya pelayan Windows pejabat juga harus menamatkan VPN: berapa banyak perisian menghadap internet yang sanggup anda jalankan pada direktori, sama ada anda boleh mengesahkan pengguna jauh tanpa peranan itu, dan apa yang berlaku kepada akses pengurusan anda apabila hos dimulakan semula. Jika mana-mana daripada tiga mempunyai jawapan buruk, pisahkan peranan. Pejabat kecil mengubah bajet, bukan risiko.

Setiap mesin dalam domain mempercayai pengawal domain; get laluan VPN boleh dicapai oleh sesiapa di internet. Asimetri itulah seluruh hujah.

Dua kerja dengan dua profil pendedahan berbeza

Get laluan menerima sambungan dari luar, jadi pendengarnya, tindanan TLS dan permukaan pengesahannya semuanya boleh dicapai dari rangkaian tidak dipercayai. Direktori memegang kuasa yang dipercayai mesin lain, sebab itu panduan pengukuhan Microsoft menganggap peranan pengawal domain dan persekitaran pengehosannya sebagai sangat sensitif. Setiap perkhidmatan yang ditambah pada hos itu mewarisi kedudukan kepercayaan direktori sambil menambah permukaan serangannya sendiri. Kemudahan pemasangan bukan sempadan kepercayaan.

Memisahkan peranan tidak menghapuskan kebergantungan. Pengguna jauh masih memerlukan pengesahan, laluan, DNS dan peraturan akses, dan get laluan yang melangkaunya bukan lebih selamat, hanya kurang berguna.

Pengesahan tanpa peranan direktori

Get laluan boleh mengesahkan kelayakan melalui integrasi luaran yang disokong tanpa mengehos direktori itu sendiri. Apa pun integrasi itu, berikannya akaun yang haknya sepadan dengan tujuan: membaca atribut yang diperlukan untuk pengesahan, tidak lebih. Menerima pengguna VPN tidak pernah memerlukan akaun biasa mereka dijadikan pentadbir domain, dan tidak pernah memerlukan get laluan menyimpan salinan direktori.

Kemudian hadkan laluan rangkaian yang benar-benar diperlukan oleh klien jauh. Akses kepada satu perkhidmatan fail dalaman, serta perkhidmatan penyelesaian nama dan identiti yang menjadi sandaran aliran kerja itu, ialah set laluan yang ditentukan. Itu bukan alasan untuk membenarkan setiap port pengawal domain atau setiap antara muka pentadbiran dari kumpulan VPN.

Satu hos masih satu domain kegagalan

Dua tetamu pada satu hypervisor memisahkan konfigurasi sistem pengendalian mereka dan tidak memisahkan nasib mereka. Pentadbir hypervisor, pensuisan maya, storan dan sandaran kekal sebahagian daripada reka bentuk, dan but semula hos menghapuskan kedua-dua perkhidmatan sekali gus. Menyebutnya ketersediaan tinggi kerana rajah menunjukkan dua VM ialah kesilapan biasa dan mahal. Jika satu-satunya jalan balik melalui VPN pada hos itu, kegagalan merampas sambungan yang diperlukan untuk membaikinya.

Jadi rancang laluan pengurusan bebas yang tidak bergantung pada terowong, dan tuliskan apa yang kekal tersedia semasa penyelenggaraan. Jadualkan kemas kini get laluan dan penyelenggaraan direktori secara berasingan, dengan mencatat pengguna atau aplikasi yang disentuh oleh setiap gangguan.

Tetingkap penyelenggaraan yang memerlukan VPN aktif untuk membaiki VPN bukan tetingkap penyelenggaraan.

Alihkan tanpa mengunci diri di luar

Jika peranan sudah berkongsi satu pemasangan, elakkan migrasi jauh yang tergesa-gesa. Inventori apa yang dimiliki get laluan hari ini: alamat, peraturan penghantaran, NAT, tetapan DNS, konfigurasi pengesahan dan sebarang perkhidmatan yang diterbitkan. Sediakan kedua-dua pengganti dan jalan balik sebelum memindahkan pendengar atau mengubah laluan lalai. Kemudian uji kerja sebenar pengguna jauh biasa melalui sempadan baru, dan pastikan akses pentadbiran yang tidak perlu masih gagal.

Matlamatnya bukan rajah yang lebih cantik. Ia ialah keupayaan membaiki atau membina semula VPN tanpa menyentuh kotak yang menjadi sauh kepercayaan direktori untuk seluruh pejabat. Itu matlamat yang berbeza, dan hanya satu daripadanya memerlukan pelayan kedua.

Catat keputusan itu walau apa pun, termasuk syarat yang akan membukanya semula. Pejabat kecil membesar, dan jawapan yang sesuai untuk satu pelayan mungkin tidak sesuai untuk yang seterusnya.