Stel een apparaat voor externe toegang voor dat de netwerkeigenaar kan goedkeuren

Een apparaat voor externe toegang verandert de netwerkgrens van de klant, ook wanneer het naar buiten belt en geen inkomende port forwarding nodig heeft. De richting naar buiten is wat het makkelijk te installeren maakt en wat het makkelijk te overzien maakt. Presenteer het als een verzoek om toegangsontwerp voordat het op het netwerk gaat. Het voorstellen als iets dat je niet hoefde te noemen, is hoe een technisch succes een contractprobleem wordt.

Ga ervan uit dat de netwerkeigenaar vier vragen stelt: wat, wie, hoe ver, en hoe draaien we het terug.

Vraag om de resource, niet om het subnet

Beschrijf het werk in de termen die de eigenaar gebruikt: welke persoon welke dienst nodig heeft, op welk apparaat, voor hoe lang. Een verzoek dat beperkt blijft tot één toepassing op één host is makkelijk goed te keuren. Een verzoek om een subnet is een verzoek om iemands segmentering opnieuw in te richten.

De klant draait misschien al een goedgekeurd VPN, een gateway voor extern bureaublad of een beheerd supportkanaal dat in de behoefte voorziet. Controleer dat eerst, want hergebruik van een bestaand pad is voor beide kanten meestal het goedkoopste antwoord. Past het niet, zeg dan precies waarom. Die vergelijking is het sterkste deel van het voorstel.

Is een apparaat echt nodig, breng dan de eigenaar, de softwarebron, het updateproces en het beoogde installatiepunt mee.

Toon de verbinding en waar het vertrouwen eindigt

Teken het apparaat, de externe gebruiker, eventuele broker of relay en de beschermde resource. Markeer waar de versleuteling eindigt en wie elk eindpunt beheert. Een sessie naar buiten introduceert nog steeds een nieuw besturingspad, en in het diagram wordt dat zichtbaar. Zeggen dat het verkeer versleuteld is, beantwoordt een vertrouwelijkheidsvraag en geen autorisatievraag.

Noem de modus expliciet: packet forwarding, applicatieproxy of een blootgesteld bureaublad. Elk heeft andere gevolgen voor routing en hostbeveiliging, en elk faalt anders wanneer het apparaat wordt gecompromitteerd.

Houd niet-gerelateerde klantnetwerken en de eigen beheerinterface van het apparaat buiten de goedgekeurde scope.

Scheid gebruikersidentiteit van apparaatidentiteit

Gebruikersregistratie, apparaatidentiteit, multifactorauthenticatie en applicatieaanmelding zijn vier verschillende controles, en het voorstel moet elk ervan benoemen. Gedeelde inloggegevens zijn de gebruikelijke sluiproute, en ze laten de eigenaar één persoon niet intrekken zonder iedereen te verstoren. Applicatieaanmelding hoort bij de applicatie te blijven. Het apparaat authenticeert een verbinding; de dienst beslist wat die verbinding mag doen.

De zero-trustarchitectuur van NIST is hier nuttig omdat die toegang tot resources behandelt als een expliciete beslissing en niet als een gevolg van netwerklocatie.

Spreek herstel en verwijdering af vóór installatie

De eigenaar moet toegang snel kunnen uitschakelen via een controle die hij zelf bedient, niet via een telefoontje naar jou. Schrijf intrekking van inloggegevens, verwijdering van het apparaat, verantwoordelijkheid voor updates en een verval- of herzieningsdatum op. Behoud een lokaal herstelpad dat niet van het nieuwe externe kanaal afhangt. Een apparaat dat niemand zonder de leverancier kan verwijderen, is een permanente afhankelijkheid vermomd als gemak.

Houd de administratie in verhouding: goedgekeurde identiteiten, toegangsbereik, belangrijke wijzigingen en relevante storingen.

Het verzamelen van niet-gerelateerde browsegeschiedenis om te bewijzen dat het apparaat bestaat, is geen bewijs van goed beheer, en het schept een verplichting die de eigenaar nooit heeft gevraagd.

Hoe een geslaagde goedkeuring eruitziet

Accepteer het ontwerp samen met de eigenaar met één toegestane dienst en één resource die geweigerd moet blijven. Die tweede helft is het deel dat mensen overslaan, en het is het enige deel dat bewijst dat de grens ligt waar het diagram zegt. Test intrekking op dezelfde manier, voordat het apparaat echt werk draagt. Wordt goedkeuring onthouden, gebruik dan het toegestane alternatief van de klant of doe het werk lokaal.

Een werkende verbinding is geen toestemming om het toegangspad te maken.

Schrijf de goedkeuring op met haar bereik en haar vervaldatum, en geef de eigenaar een kopie. De volgende persoon die dat netwerk aanraakt, leest het verslag, niet jouw herinnering aan het gesprek.