VPN voor een klein kantoor: houd hem weg van de domeincontroller

Drie voorwaarden bepalen of de enige Windows-server van het kantoor ook de VPN moet beëindigen: hoeveel internetgericht software u op de directory wilt draaien, of u externe gebruikers kunt authenticeren zonder die rol, en wat er met uw beheerderstoegang gebeurt wanneer de host opnieuw opstart. Als een van de drie een slecht antwoord heeft, scheidt u de rollen. Dat het kantoor klein is verandert het budget, niet het risico.

Elke machine in het domein vertrouwt een domeincontroller; een VPN-gateway is voor iedereen op internet bereikbaar. Die asymmetrie is het hele argument.

Twee taken met twee verschillende blootstellingsprofielen

De gateway accepteert verbindingen van buiten, dus de listener, de TLS-stack en het authenticatieoppervlak zijn allemaal bereikbaar vanaf niet-vertrouwde netwerken. De directory heeft een autoriteit die andere machines vertrouwen, daarom behandelt Microsofts hardeningrichtlijn de domeincontrollerrol en de hostingomgeving als bijzonder gevoelig. Elke dienst die aan die host wordt toegevoegd, erft de vertrouwenspositie van de directory en voegt zijn eigen aanvalsoppervlak toe. Installatiegemak is geen vertrouwensgrens.

Het scheiden van de rollen verwijdert de afhankelijkheden niet. Externe gebruikers hebben nog steeds authenticatie, routes, DNS en toegangsregels nodig, en een gateway die deze overslaat is niet veiliger, alleen minder nuttig.

Authenticatie zonder de directoryrol

Een gateway kan inloggegevens valideren via een ondersteunde externe integratie zonder de directory zelf te hosten. Wat die integratie ook is, geef haar een account waarvan de rechten bij het doel passen: de attributen lezen die nodig zijn voor authenticatie, niets meer. Het toelaten van VPN-gebruikers vereist nooit dat hun gewone accounts domeinbeheerders worden, en het vereist nooit dat de gateway een kopie van de directory houdt.

Beperk vervolgens de netwerkpaden die de externe client werkelijk nodig heeft. Toegang tot één interne bestandsservice, plus de naamoplossings- en identiteitsdiensten waarvan die werkstroom afhangt, is een gedefinieerde reeks paden. Dat is geen reden om elke domeincontrollerpoort of elk beheerdersinterface vanuit de VPN-pool toe te staan.

Eén host is nog steeds één foutdomein

Twee gasten op één hypervisor scheiden hun besturingssysteemconfiguratie en scheiden niet hun lot. De beheerders van de hypervisor, virtuele switching, opslag en back-ups blijven deel van het ontwerp, en een herstart van de host verwijdert beide diensten tegelijk. Dat hoge beschikbaarheid noemen omdat het diagram twee VM's toont, is een veelgemaakte en dure fout. Als de enige weg terug via de VPN op die host loopt, neemt een storing de verbinding weg die nodig is om die te repareren.

Plan daarom een onafhankelijk beheerpad dat niet van de tunnel afhangt, en schrijf op wat tijdens onderhoud beschikbaar blijft. Plan gateway-updates en directoryonderhoud apart, en noteer welke gebruikers of toepassingen elke onderbreking raakt.

Een onderhoudsvenster dat vereist dat de VPN actief is om de VPN te repareren, is geen onderhoudsvenster.

Verplaats het zonder uzelf buiten te sluiten

Als de rollen al één installatie delen, vermijd een overhaaste externe migratie. Inventariseer wat de gateway vandaag bezit: adressen, doorstuurregels, NAT, DNS-instellingen, authenticatieconfiguratie en eventuele gepubliceerde diensten. Bereid zowel de vervanging als een weg terug voor voordat u de listener verplaatst of een standaardroute wijzigt. Test daarna het echte werk van een gewone externe gebruiker door de nieuwe grens, en bevestig dat onnodige beheerderstoegang nog steeds mislukt.

Het doel is geen mooier diagram. Het is het vermogen om de VPN te repareren of herbouwen zonder de doos aan te raken die het directoryvertrouwen voor het hele kantoor verankert. Dat zijn verschillende doelen, en slechts één ervan heeft een tweede server nodig.

Leg de beslissing hoe dan ook vast, inclusief de voorwaarden die haar opnieuw zouden openen. Een klein kantoor groeit, en het antwoord dat bij één server paste, past misschien niet bij de volgende.