VPN-toegang voor klanten: geef bevoorrecht werk een eigen apparaat

Het verbindingsprofiel zegt Productie, de tunnel komt op en elk venster op de desktop kan nu de systemen van de klant bereiken. Niets in die reeks scheidde de bevoorrechte sessie van het browsertabblad ernaast. Een VPN-profiel is een naam plus een set routes; de grens die u werkelijk aangaat, wordt gebouwd uit apparaatidentiteit, een gecontroleerde uitvoeringsomgeving en een pad voor inloggegevens. Die drie worden op verschillende plekken afgedwongen, en daarom levert het toevoegen van één en het overslaan van de andere een ontwerp op dat compliant lijkt en het niet is.

Een profielnaam is geen grens

De client past routes en DNS-configuratie toe wanneer de tunnel opkomt, en alles wat daarna op die machine draait, erft beide.

Een naam in een keuzelijst verandert wat een operator herkent, niet wat het besturingssysteem toestaat.

Apparaatidentiteit is wat de gateway kan controleren

Een gateway die apparaatcertificaten of posture-checks ondersteunt, authenticeert zowel de machine als de persoon. Dat is de laag die een verbinding vanaf een niet-beheerde laptop kan weigeren voordat iemand een wachtwoord typt. Hij geeft u ook iets concreets om in te trekken wanneer een apparaat kwijt is. Eén certificaat naar drie machines kopiëren haalt precies die eigenschap weg, en daarom hoort de levensduur van het certificaat in de overeenkomst en niet in een gedeelde map.

De klant bepaalt welke van die controles zijn beleid vereist, en een virtuele machine die door een leverancier is gebouwd voldoet misschien helemaal niet aan een posture-check.

Waar een VM-grens lekt

Een virtuele machine houdt de hulpmiddelen van de klant en de netwerkstatus bij elkaar, en dat is echt nuttig. Ze hangt ook af van de host en de hypervisor, en verschillende gemakken steken de grens over: gedeelde mappen, klembordintegratie, agenten voor inloggegevens en beheertoegang op hostniveau. Een bevoorrechte gast op een host voor dagelijks gebruik is niet zelfstandig betrouwbaar, omdat de host kan zien wat de gast doet. Behandel de VM als een controle die blootstelling vermindert, niet als een apart beveiligingsdomein.

Een toegewijd fysiek apparaat haalt de afhankelijkheid van de host weg en voegt daarvoor een onderhoudsverplichting toe.

Inloggegevens en overdrachtspaden

Gebruik individuele, intrekbare identiteiten per engineer en per klant, en houd ze buiten persoonlijke browserprofielen en chatgeschiedenis. Inloggegevens die een heel team deelt, kun je niet schoon toeschrijven, rouleren of intrekken. Bepaal het overdrachtspad voor hulpmiddelen, bestanden en diagnostische uitvoer vóór de eerste sessie, want ad hoc bestandsverplaatsing is de manier waarop een grens stil ophoudt een grens te zijn. Als twee klanten tegelijk bereikt moeten worden, laat dan eerst de scheiding van netwerk en identiteit goedkeuren.

Brug nooit twee klantnetwerken via één werkstation, alleen omdat dat die middag handig was.

De overeenkomst die het herhaalbaar maakt

Schrijf een korte notitie per klant en bewaar die waar beide partijen hem kunnen vinden. Er moet in staan welk apparaat of welke externe omgeving is goedgekeurd en wie dat onderhoudt, welke identiteiten zijn toegestaan, welke systemen en handelingen zij mogen bereiken, het overdrachtspad en de gebruikelijke manier waarop een sessie eindigt.

Vijf regels die iemand doorneemt wanneer iemand in of uit dienst gaat, verslaan een beleid dat niemand kan toepassen:

• Goedgekeurd apparaat of externe omgeving, met een genoemde onderhoudseigenaar.
• Individuele gebruikers- en apparaatidentiteiten die voor support zijn toegestaan.
• Systemen en handelingen die die identiteiten mogen bereiken.
• Toegestaan pad voor hulpmiddelen, bestanden en diagnostische uitvoer.
• Proces voor het beëindigen van de sessie en een geautoriseerd noodalternatief.

Noodtoegang zonder inloggegevens te verplaatsen

Wanneer een controle een dringende reparatie blokkeert, is het uitzonderingsproces de route, niet een tweede laptop met dezelfde inloggegevens. Een goedgekeurde uitzondering legt vast wie hem autoriseerde, wat er is versoepeld en wanneer hij eindigt. Een inloggegeven naar een machine voor dagelijks gebruik verplaatsen verandert de grens op het slechtst mogelijke moment, en daarna blijft die meestal veranderd. De noodroute verdient een oefening zolang er niets kapot is.

Beëindig daarna de sessie zoals de overeenkomst zegt, en bevestig dat de toegang echt is gestopt.