Arbeids-VPN i Saudi-Arabia: tre spørsmål før du ber om tilgang

Ei avvist andre innlogging eller ein blokkert intern applikasjon peikar sjeldan på ein øydelagd tunnel. Arbeids-VPN-ar handhevar tre separate ting: kva kontoen kan nå, kor mange økter han kan halde og kva interne tenester som er publiserte for eksterne brukarar. Still dei tre spørsmåla i rekkjefølgje, fordi kvart av dei har ein annan eigar. Eit publisert rammeverk som NCA-rettleiinga for innføring av fjernarbeid er eit nyttig rammeverk for samtalen, ikkje ein dom over den juridiske stoda til nokon.

Først: kva har denne kontoen lov til å nå?

Tilgangsrettar blir definerte av systemkjensle, tilgangsnivå og tillaten einingstype, og det er organisatoriske avgjerder, ikkje eigenskapar ved tunnelen. Å ha passordet svarar berre på om sambandet kan etablerast. Det seier ikkje om kontoen kan opne eit dokument, administrere ein server eller endre ein kontrollar. Be om den tiltenkte ressursen og operasjonen, ikkje om tilgang til nettverket som heilskap.

Ei førespurnad formulert som ein destinasjon er lettare å godkjenne enn ei formulert som ei kjensle. Derfor handlar det første spørsmålet om ressursen, ikkje om nettverket.

NCA 2-2-1-1 knyter tilgangsrettar nøyaktig til desse tre dimensjonane, derfor må svaret namngje eit system og ein operasjon. Den same logikken finst i nulltillitsrettleiing: plassering i nettverket er ikkje autorisasjon. Ein brukar på bedrifts-VPN og ein brukar på ein heimesamband kan begge autentiserast, og applikasjonen avgjer framleis kva kvar av dei kan gjere.

Deretter: kor mange økter kan køyre samtidig?

Samtidig ekstern tilgang er ein eigen kontroll, og NCA 2-2-1-2 dekkjer han saman med ein godkjenningsveg for unntak. Organisasjonar avgrensar han ofte, nokre gonger til éi aktiv økt per konto. Grensa er eit politikknummer som operatøren fastset, ikkje ein protokollkonstant, så ingen utanfor organisasjonen kan fortelje deg verdien. Ei forelda økt som ingen kan lukke, er eit driftsproblem som er verdt å rapportere i seg sjølv.

Viss ein andre berbar PC blir avvist, er den første økta den vanlege forklaringa. Spør korleis operatøren identifiserer økter og korleis forelda økter blir lukka; nokre system lèt ei inaktiv økt gå ut, andre held på henne til ho blir avslutta eksplisitt. Ikkje installer klienten på nytt, byt ikkje profil og endre ikkje utgangar før det svaret kjem.

Tredje: kva interne tenester er publiserte?

Ekstern tilgang publiserer vanlegvis eit definert sett av tenester, protokollar og portar, og NCA 2-4-1-1 held settet til det fjernarbeid faktisk treng. Lista er mindre enn det private nettverket, og det er med vilje. Spør kva teneste og port du treng i staden for å be om brei tilgjenge, fordi ein brei førespurnad er vanskelegare å grunngje og mykje vanskelegare å gjennomgå seinare.

Støtteførespurnaden bør innehalde rolla til kontoen, den godkjende eininga, måltenesta, tidspunktet for feilen og den ikkje-hemmelege feilteksten. Send han gjennom kanalen til organisasjonen, ikkje til den som svarar først i ein gruppechat. Det er nok for eigaren til å kontrollere policy og loggar. Passord, gjenopprettingskodet og private nøklar har ingen ting der å gjere.

Kva du skal gjere når svaret er nei

Ei avvising er ofte eit mishøve i omfang, ikkje ein sikkerheitsdom. Tenesta er kanskje berre publisert for kontoradresser, eller rolla manglar kanskje operasjonen sjølv om tunnelen fungerer. Spør kva av dei tre spørsmåla som feila, og rettinga blir vanlegvis openber. Viss det trengst eit unntak, be eigaren om å registrere det i staden for å gå utanom det.

Ikkje lån økta til ein kollega, slå av ein klientkontroll eller ruter trafikk gjennom ein ikkje-godkjend utgang for å få ein test til å gå. Kvart av desse erstattar ei reviderbar avvising med ein suksess ingen kan revidere, og neste gjennomgang vil finne skilnaden. Det godkjende unntaket er tregare og overlever ein revisjon.

Spørsmåla du tek med til eigaren

Skriv dei ned før samtalen: kva ressursar og operasjonar denne kontoen er godkjend for, kva policyen for samtidige økter er og korleis forelda økter blir rydda, og kva interne tenester og portar som er publiserte for eksterne brukarar. Be eigaren stadfeste gjeldande bruk, fordi rettleiingar blir reviderte og intern policy kan vere strengare enn den publiserte basislinja. Legg til einingkravet viss organisasjonen har eit.

Eit rammeverk for kontrollar hjelper deg å stille presise spørsmål. Det tillèt ikkje ein aktivitet, og det erstattar ikkje svaret til operatøren.

Ta svara tilbake til den same eigaren når neste endring blir føreslått. Det er det som gjer ei eingongsgodkjenning til ein policy nokon vedlikeheld.