Werklaptop op een persoonlijke VPN: wat er werkelijk overgaat

Een bedrijfslaptop aan een thuis-VPN koppelen zet hem tegelijk op twee plekken, en de interessante vraag is kleiner en nuttiger dan de alarmerende. Niemand heeft een Ethernet-kabel tussen kantoor en huis gelegd, en geen enkele route maakt het thuisnetwerk tot een uitbreiding van het bedrijfssubnet. Wat bestaat is één eindpunt met toegang tot beide omgevingen, en drie afzonderlijke mechanismen bepalen wat er werkelijk tussen kan bewegen. Die drie van het eindpunt naar buiten doorlopen levert een antwoord op waar een beheerder naar kan handelen in plaats van een debat over labels.

Begin bij het eindpunt, niet bij het netwerkdiagram

Het eindpunt is waar beide verbindingen samenkomen, dus daar begint de beoordeling: welke processen draaien, wat ze kunnen bereiken en wie ze beheert. Een diagram met twee wolken die aan een laptop zijn gekoppeld is juist en nutteloos, omdat het een koppeling suggereert die er misschien niet is. Vervang het door een lijst van de toepassingen die met elke omgeving kunnen praten, en noteer onder welk account elk draait. Dat kader houdt de beoordeling ook in verhouding, want een laptop met twee tunnels is niet hetzelfde object als twee verbonden netwerken.

Die lijst is de inventaris waar de rest van de beoordeling mee werkt. Staat er een synchronisatieclient, een browserprofiel dat in beide omgevingen is aangemeld en een build-agent met inloggegevens op, dan heeft de beoordeling haar onderwerpen al.

Drie overgangspunten, afzonderlijk beoordeeld

Toepassingstoegang is het eerste overgangspunt en vereist geen enkele doorsturing. Een browsertabblad, een synchronisatieclient of een build-agent op het eindpunt kan lezen uit een bron in de ene omgeving en gegevens indienen bij een bron in de andere. Die mogelijkheid bestaat ongeacht of het besturingssysteem pakketten tussen interfaces doorstuurt, en dat is het mechanisme dat mensen missen wanneer zij concluderen dat geen brug geen risico betekent. De lijst met toepassingen lezen is daarom informatiever dan de lijst met interfaces lezen.

Identiteit en gegevens vormen het tweede overgangspunt. Bedrijfsinloggegevens, sessiecookies, gedownloade documenten en beheerrechten staan op het eindpunt, en lid worden van een ander netwerk maakt ze niet vanzelf openbaar. Wat verandert is de verzameling partijen die het eindpunt kunnen beïnvloeden terwijl het die inloggegevens bevat, en dat is een vraag over de betrouwbaarheid van het persoonlijke netwerk en niet over routering. Dat is een oordeel dat de eigenaar van het eindpunt niet alleen kan vellen, en het wordt niet beantwoord door het ontbreken van een doorstuurregel.

Netwerkdoorsturing is de derde, en de enige die de laptop in een transittoestel kan veranderen. IP-doorsturing, internetverbinding delen, een proxy of een brugfunctie kunnen dat allemaal doen, en elk is een configuratie die ofwel aan ofwel uit staat. Inspecteer die toestand rechtstreeks in plaats van hem af te leiden uit de aanwezigheid van een VPN-client. Op een beheerde machine is het antwoord meestal nee, en het verifiëren ervan maakt van een aanname een feit dat het noteren waard is.

Vraag om één bron, niet om twee netwerken

De meeste echte eisen zijn smaller dan ze op het eerste gezicht lijken: één console, één bestandsshare, één interne webtoepassing. Formuleer de eis zo en laat de eigenaar van de bron beslissen of die überhaupt op dit eindpunt thuishoort. Een verzoek dat als samenvoeging van twee netwerken is geformuleerd, is moeilijk goed te keuren en gemakkelijk te weigeren; een verzoek voor één genoemde dienst heeft een antwoord.

Is het antwoord ja, kies dan het smalste ondersteunde pad en houd het binnen de bestaande controles van de organisatie. Een beheerd tweede profiel of een beperkte toepassingsvermelding behoudt monitoring en beleid; een concurrerende persoonlijke configuratie vervangt die stilzwijgend, en niemand weet welke na de volgende update wint.

Neem DNS- en route-effecten mee

Naamresolutie verandert op het moment dat een tweede profiel actief is. Een persoonlijke client kan zijn eigen resolver opdringen, een browser kan zijn eigen versleutelde DNS gebruiken, en een beleidstabel kan interne namen naar een andere server sturen dan de bedrijfsconfiguratie verwacht. Niets daarvan vereist doorsturing, en elk ervan kan een interne hostnaam op de verkeerde plek laten belanden.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Leg die drie uitvoer vast voordat het tweede profiel verbinding maakt en erna. Het verschil ertussen is het effect dat de gebruiker werkelijk bereikt, en het is vaak groter dan de routeringswijziging die het ticket beschrijft. Bewaar beide opnamen zodat een latere beoordelaar ziet wat er veranderde en niet wat de bedoeling was.

Verifieer en houd een uitweg

Test de goedgekeurde toepassing vanuit het echte proces en de gebruikerscontext, niet vanuit een beheerdersshell op dezelfde machine. Bevestig daarna dat ongerelateerde bestemmingen onbereikbaar blijven waar het ontwerp dat vereist: een grens die niemand heeft getest is een grens waar niemand zich op kan beroepen. Het loskoppelen van de persoonlijke tunnel zou de vorige toestand moeten herstellen, en die herstelling is het controleren waard terwijl er nog iemand meekijkt.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

De NIST-richtlijn over zero-trustarchitectuur is hier nuttig omdat zij de netwerklocatie als automatische bron van vertrouwen wegneemt, en dat is precies de aanname die ter discussie staat. De vraag is niet of het thuisnetwerk van nature betrouwbaar is; zij is wie welke bron kan bereiken, vanaf welk eindpunt en via welk handhavingspunt. Beantwoord die drie, en bewaar het bewijs bij de beslissing.