Iċċentralizza l-Aċċess VPN tal-Imsieħba Mingħajr Ma Tgħaqqad l-Imsieħba

Il-proposta hija raġonevoli: ħames tunnels tal-imsieħba mifruxa fuq tużżana laptops, ħames settijiet ta' verżjonijiet tal-klijent, ħames scripts tal-help desk, u inġinier wieħed li jaf kif jaqblu flimkien. Li tmexxihom għal saff ta' aċċess ikkontrollat jiffissa t-tixrid tal-endpoints. Fl-istess waqt joħloq oġġett ġdid fl-arkitettura tiegħek — servizz ta' aċċess kondiviż li issa jeħtieġ mudell ta' awtorizzazzjoni tiegħu; u l-falliment li kulħadd jissottovaluta huwa apparat ċentrali b'kull tunnel mixgħul li bilkwiet isir netwerk ta' transitu bejn organizzazzjonijiet li qatt ma qablu li jkunu ġirien. Dak ir-riskju huwa għażla tad-disinn, mhux xi ħaġa li l-ħardwer jagħmel waħdu. Ix-xogħol hawn taħt huwa kif inżomm il-konvenjenza mingħajr ma naċċetta l-effett sekondarju aċċidentali.

Ibda mill-kuntratt li kull sieħeb diġà ffirma

Qabel kwalunkwe konfigurazzjoni, ikkonferma li s-sieħeb jippermetti gateway jew konnessjoni tas-sit kondiviża xejn. Kont personali ta' aċċess mill-bogħod, rekwiżit tal-qagħda tal-apparat, jew fluss MFA interattiv jistgħu ma jkunux trasferibbli għal tunnel kondiviż mingħajr sorveljanza, u li tlaqqa' l-impjegati wara identità tal-klijent ikkupjata waħda huwa dak it-tqassir li jiflaħ sakemm is-sieħeb jagħmel awditu tal-logs tiegħu. Għal kull konnessjoni permessa, iddokumenta l-firxiet tad-destinazzjoni, id-dominji DNS privati, is-sorsi interni awtorizzati, il-persuna responsabbli tal-awtentikazzjoni, u x'għandu jiġri meta t-tunnel ifalli. Itlob lis-sieħeb jikkonferma l-konnessjoni kondiviża bil-miktub, inklużi l-firxiet tas-sors li se jaċċetta. L-approvazzjoni verbali għandha t-tendenza li tbiddel it-tifsira fil-ġimgħa li l-iskwadra tas-sigurtà tagħhom tinbidel.

Dak ir-rekord huwa l-kunsinna. Jekk ma tistax tikteb għal sieħeb wieħed, dak is-sieħeb mhux lest li jiġi ċċentralizzat.

Ittraġġa bil-kuntest, mhux bid-destinazzjoni biss

Żewġ imsieħba eventwalment jużaw l-istess firxa privata, għax kull organizzazzjoni tagħżel mill-istess spazju RFC 1918. Tabella waħda ordinarja tar-rotta ma tistax tagħżel is-sieħeb it-tajjeb mid-destinazzjoni biss, għalhekk firxiet li jikkoinċidu jeħtieġu kuntesti tar-rotta separati jew disinn ieħor miftiehem. Il-mudell tal-forwarding domain fi RFC 4364 jiddeskrivi għaliex din is-separazzjoni hija importanti, u implimentazzjoni m'għandhiex għalfejn tmexxi MPLS biex tirrikjedi l-istess propjetà mill-pjattaforma tal-gateway tagħha.

Staqsi lill-pjattaforma mistoqsija diretta: jistgħu żewġ imsieħba jaqsmu l-istess prefiss tad-destinazzjoni u xorta jkunu distinti minn liema kuntest tal-impjegat waslet is-sessjoni? Jekk it-tweġiba hija le, dak ir-restrizzjoni tifforma d-disinn aktar minn kwalunkwe lista ta' karatteristiċi tal-fornitur.

Fejn it-tweġiba hija iva, il-kuntest tar-rotta jsir dak li tiddokumenta u ttestja, għax huwa inviżibbli fit-traceroute.

Iddeċiedi x'jittajpja l-impjegat u x'jilloggja s-sieħeb

Xi xogħol tas-sieħeb jaqbel ma' prokura tal-applikazzjoni jew ma' workspace mill-bogħod miftuħ fil-kuntest ta' dak is-sieħeb. Xogħol ieħor jeħtieġ aċċess tan-netwerk routjat minn segment tal-impjegati approvat, u t-tnejn jipproduċu indirizzi tas-sors differenti u traċċi tal-awditjar differenti fit-tarf l-ieħor. Indirizz tas-sors tradott kondiviż jista' jissodisfa lista tal-permessi filwaqt li jaħbi liema apparat għamel xiex, għalhekk żomm rekord affidabbli tal-impjegat mas-sessjoni u żomm l-awtentikazzjoni tal-applikazzjoni, minflok ma tqis l-indirizz tal-gateway bħala identità, li huwa konvenjenti eżattament sa meta s-sieħeb jistaqsi min għamilha.

Imbagħad imxi kompitu wieħed reali min-naħa tal-impjegat: x'jikklikkjaw, x'inhu mitlub minnhom, u x'jara s-sieħeb jekk jitlob entrata fil-log. Jekk dak il-mixi ma jkunx riproduċibbli, id-disinn mhux lest.

Irrifjuta b'mod espliċitu t-transitu bejn l-imsieħba

Ħardwer kondiviż qatt m'għandu jimplika fiduċja kondiviża. Żid iċ-ċaħda bħala regola apposta b'persuna responsabbli msemmija, mhux bħala inċident ta' konfigurazzjoni nieqsa, u ttestjaha miż-żewġ naħat b'talba li kieku tirnexxi. It-test huwa importanti għax permess li sempliċement huwa nieqes jista' jerġa' jiġi stabbilit mill-inġinier li jmiss li jżid rotta biex isewwi ilment mhux relatat.

Ikteb iċ-ċaħda fir-rekord tas-sieħeb ħdejn il-permessi, sabiex l-intenzjoni tgħix aktar mill-bidliet tal-persunal.

Mexxiha bħala servizz kondiviż, mhux bħala laptop akbar

It-tiġdid tat-tunnels, ir-rotazzjoni tal-kredenzjali, il-kapaċità u s-sostituzzjoni tal-gateway issa kollha jsiru bidliet ta' servizz kondiviż, li jfisser li jeħtieġu skeda u passaġġ ta' komunikazzjoni li l-laptops individwali qatt ma teħtieġu. Ċertifikat ta' sieħeb li jiskadi nhar ta' Sibt m'għadux waqfa ta' utent wieħed; hija waqfa ta' kull sessjoni ta' dak is-sieħeb f'daqqa.

Aċċetta s-saff biss meta talba miċħuda bejn l-imsieħba tfalli eżattament kif maħsub u talba permessa tal-impjegat tilħaq id-destinazzjoni t-tajba bis-sors it-tajjeb. It-tneħħija tal-kunflitti tal-laptops filwaqt li jibqa' intatt il-konfini ta' kull sieħeb hija l-punt kollu; disinn fejn kull prefiss mill-bogħod jintlaħaq minn kull skrivanija sempliċement ċaqlaq il-problema.

Żomm tabella żgħira ta' sieħeb, kuntest, firxiet permessi u persuna responsabbli. Se tkun l-ewwel ħaġa li kulħadd jitlob waqt inċident.