Komputer riba kerja pada VPN peribadi: apa yang sebenarnya melintas

Menyambungkan komputer riba syarikat ke VPN rumah meletakkannya di dua tempat sekali gus, dan soalan yang menarik lebih kecil serta lebih berguna daripada yang membimbangkan. Tiada siapa menarik kabel Ethernet antara pejabat dan rumah, dan tiada laluan menjadikan rangkaian rumah lanjutan subrangkaian korporat. Yang ada ialah satu titik akhir dengan akses kepada kedua-dua persekitaran, dan tiga mekanisme berasingan menentukan apa yang benar-benar boleh bergerak antaranya. Menelusuri ketiga-tiganya, dari titik akhir ke luar, menghasilkan jawapan yang boleh diambil tindakan oleh pentadbir dan bukannya perdebatan tentang label.

Mulakan di titik akhir, bukan pada rajah rangkaian

Titik akhir ialah tempat kedua-dua sambungan bertemu, jadi di situlah semakan bermula: proses apa yang berjalan, apa yang boleh dicapai dan siapa yang mengawalnya. Rajah yang menunjukkan dua awan bersambung ke komputer riba adalah tepat dan tidak membantu, kerana ia membayangkan pautan yang mungkin tidak wujud. Gantikannya dengan senarai aplikasi yang boleh bercakap dengan setiap persekitaran, dan catat akaun yang menjalankan setiap satu. Rangka kerja itu juga mengekalkan semakan secara berkadar, kerana komputer riba dengan dua terowong bukan objek yang sama dengan dua rangkaian yang disatukan.

Senarai itu ialah inventori yang menjadi asas kepada baki semakan. Jika ia mengandungi klien penyegerakan, profil pelayar yang log masuk ke kedua-dua persekitaran dan ejen binaan dengan kelayakan, semakan itu sudah mempunyai subjeknya.

Tiga titik lintasan, disemak secara berasingan

Akses aplikasi ialah titik lintasan pertama, dan ia tidak memerlukan sebarang penghantaran. Tab pelayar, klien penyegerakan atau ejen binaan pada titik akhir boleh membaca daripada sumber dalam satu persekitaran dan menghantar data kepada sumber dalam persekitaran yang lain. Keupayaan itu wujud sama ada sistem pengendalian menghantar paket antara antara muka atau tidak, dan itulah mekanisme yang orang terlepas apabila mereka menyimpulkan bahawa tiada jambatan bermakna tiada risiko. Oleh itu membaca senarai aplikasi lebih bermaklumat daripada membaca senarai antara muka.

Identiti dan data membentuk titik lintasan kedua. Kelayakan korporat, kuki sesi, dokumen yang dimuat turun dan hak pengurusan tinggal pada titik akhir, dan menyertai rangkaian lain tidak mendedahkannya dengan sendirinya. Yang berubah ialah set pihak yang boleh mempengaruhi titik akhir semasa ia memegang kelayakan itu, dan itu adalah soalan tentang kebolehpercayaan rangkaian peribadi dan bukannya tentang penghalaan. Itu adalah pertimbangan yang tidak boleh dibuat oleh pemilik titik akhir sendirian, dan ia tidak dijawab oleh ketiadaan peraturan penghantaran.

Penghantaran rangkaian ialah yang ketiga, dan satu-satunya yang boleh menjadikan komputer riba sebagai peranti transit. Penghantaran IP, perkongsian sambungan internet, proksi atau ciri jambatan masing-masing boleh melakukannya, dan setiap satu ialah konfigurasi yang sama ada didayakan atau tidak. Periksa keadaan itu secara langsung dan bukannya membuat kesimpulan daripada kehadiran klien VPN. Pada mesin terurus jawapannya biasanya tidak, dan mengesahkannya menjadikan andaian sebagai fakta yang wajar direkodkan.

Minta satu sumber, bukan dua rangkaian

Kebanyakan keperluan sebenar lebih sempit daripada yang kelihatan pada mulanya: satu konsol, satu perkongsian fail, satu aplikasi web dalaman. Nyatakan keperluan dengan cara itu dan biarkan pemilik sumber memutuskan sama ada ia tergolong pada titik akhir ini. Permintaan yang dirangka sebagai penyatuan dua rangkaian sukar diluluskan dan mudah ditolak; permintaan untuk satu perkhidmatan bernama mempunyai jawapan.

Jika jawapannya ya, utamakan laluan disokong yang paling sempit dan kekalkannya dalam kawalan sedia ada organisasi. Profil kedua terurus atau entri aplikasi berskop terhad mengekalkan pemantauan dan dasar; konfigurasi peribadi yang bersaing menggantikannya secara senyap, dan tiada siapa tahu mana yang menang selepas kemas kini seterusnya.

Sertakan kesan DNS dan laluan

Penyelesaian nama berubah pada saat profil kedua aktif. Klien peribadi mungkin memaksa penyelesai sendiri, pelayar mungkin menggunakan DNS tersulit sendiri, dan jadual dasar mungkin menghalakan nama dalaman ke pelayan yang berbeza daripada yang dijangka oleh konfigurasi korporat. Tiada satu pun daripada itu memerlukan penghantaran, dan mana-mana daripadanya boleh menghantar nama hos dalaman ke tempat yang salah.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Tangkap ketiga-tiga output itu sebelum dan selepas profil kedua bersambung. Perbezaan antaranya ialah kesan yang benar-benar sampai kepada pengguna, dan ia selalunya lebih besar daripada perubahan penghalaan yang diterangkan oleh tiket. Simpan kedua-dua tangkapan supaya penyemak kemudian dapat melihat apa yang berubah dan bukan apa yang dimaksudkan.

Sahkan dan kekalkan jalan keluar

Uji aplikasi yang diluluskan daripada proses dan konteks pengguna sebenar, bukan daripada shell pentadbir pada mesin yang sama. Kemudian sahkan bahawa destinasi tidak berkaitan kekal tidak dapat dicapai di tempat reka bentuk menghendakinya: sempadan yang tiada siapa uji ialah sempadan yang tiada siapa boleh dakwa. Memutuskan terowong peribadi sepatutnya memulihkan keadaan sebelumnya, dan pemulihan itu wajar diperiksa selagi masih ada yang memerhati.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Panduan NIST tentang seni bina tanpa kepercayaan berguna di sini kerana ia menghapuskan lokasi rangkaian sebagai sumber kepercayaan automatik, yang merupakan andaian yang dipertikaikan. Persoalannya bukan sama ada rangkaian rumah boleh dipercayai secara semula jadi; persoalannya ialah siapa yang boleh mencapai sumber mana, dari titik akhir mana dan melalui titik penguatkuasaan mana. Jawab ketiga-tiganya, dan simpan bukti bersama keputusan.