Arbeidslaptop på ein personleg VPN: kva som faktisk går over

Å kople ein firmalaptop til ein heime-VPN set han to stader samstundes, og det interessante spørsmålet er mindre og meir nyttig enn det alarmerande. Ingen har lagt ein Ethernet-kabel mellom kontoret og heimen, og ingen rute gjer heimenettet til ei forlenging av firmasubnettet. Det som finst, er eitt endepunkt med tilgang til begge miljøa, og tre separate mekanismar avgjer kva som faktisk kan flytta seg mellom dei. Å gå gjennom desse tre, frå endepunktet og utover, gjev eit svar ein administrator kan handle på i staden for ein debatt om etikettar.

Byrja ved endepunktet, ikkje ved nettverksdiagrammet

Endepunktet er der begge sambandet møtest, så det er der gjennomgangen byrjar: kva prosessar som køyrer, kva dei kan nå og kven som styrer dei. Eit diagram som viser to skyer kopla til ein laptop er nøyaktig og ubrukeleg, fordi det antydar eit samband som kanskje ikkje finst. Bytt det ut med ei liste over applikasjonane som kan snakke med kvart miljø, og noter kva konto kvar av dei køyrer under. Den ramma held òg gjennomgangen høvesvis, sidan ein laptop med to tunnelar ikkje er same objektet som to samankopla nettverk.

Den lista er inventaret resten av gjennomgangen arbeider ut frå. Viss ho inneheld ein synkroniseringsklient, ein nettlesarprofil innlogga i begge miljøa og ein byggjeagent med legitimasjon, har gjennomgangen alt sine emne.

Tre overgangspunkt, gjennomgått kvar for seg

Applikasjonstilgang er det første overgangspunktet, og det krev inga vidaresending. Ei nettlesarfane, ein synkroniseringsklient eller ein byggjeagent på endepunktet kan lese frå ein ressurs i det eine miljøet og sende data til ein ressurs i det andre. Den evna finst uansett om operativsystemet sender pakkar vidare mellom grensesnitt, og det er mekanismen folk overser når dei konkluderer med at inga bru betyr ingen risiko. Å lese lista over applikasjonar er derfor meir informativt enn å lese lista over grensesnitt.

Identitet og data utgjer det andre overgangspunktet. Firmalegitimasjon, sesjonskapslar, nedlasta dokument og administrasjonsrettar ligg på endepunktet, og å kople seg til eit anna nettverk avdekkjer dei ikkje av seg sjølv. Det som endrar seg, er settet av partar som kan påverke endepunktet medan det held denne legitimasjonen, og det er eit spørsmål om pålitelegheiten til det personlege nettverket snarare enn om ruting. Det er ei vurdering endepunktet sin eigar ikkje kan gjere åleine, og ho blir ikkje svara på av at ein vidaresendingsregel manglar.

Nettverksvidaresending er den tredje, og den einaste som kan gjere laptoppen til eining for gjennomgang. IP-vidaresending, deling av internettilkopling, ein proxy eller ein brufunksjon kan kvar gjere det, og kvar av dei er ein konfigurasjon som anten er slått på eller ikkje. Undersøk den tilstanden direkte i staden for å utleie han frå nærværet av ein VPN-klient. På ein administrert maskin er svaret vanlegvis nei, og å stadfeste det gjer ei anteking om til eit faktum som er verdt å notere.

Be om éin ressurs, ikkje to nettverk

Dei fleste reelle krav er smalare enn dei først ser ut: éin konsoll, éi fildeling, éin intern webapplikasjon. Formuler kravet slik, og lat eigaren av ressursen avgjere om det i det heile høyrer til på dette endepunktet. Ein førespurnad formulert som ei samanslåing av to nettverk er vanskeleg å godkjenne og lett å avslå; ein førespurnad om éin namngjeven teneste har eit svar.

Er svaret ja, føretrekk den smalaste støtta vegen og hald han innanfor dei eksisterande kontrollane til organisasjonen. Ein administrert andre profil eller ein avgrensa applikasjonsoppføring bevarer overvaking og policy; ein konkurrerande personleg konfigurasjon erstattar dei i det stille, og ingen veit kven som vinn etter neste oppdatering.

Ta med DNS- og ruteeffektar

Namneoppslag endrar seg i det augneblinken ein andre profil er aktiv. Ein personleg klient kan presse på sin eigen resolver, ein nettlesar kan bruke sin eigen krypterte DNS, og ein policytabell kan rute interne namn til ein annan tenar enn firmakonfigurasjonen ventar. Ingenting av dette krev vidaresending, og kven som helst av dei kan sende eit internt vertsnamn til feil stad.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Fang dei tre utdata før og etter at den andre profilen koplar til. Skilnaden mellom dei er effekten som faktisk når brukaren, og han er ofte større enn ruteendringa saka skildrar. Ta vare på begge opptaka, slik at ein seinare gjennomgang kan sjå kva som endra seg og ikkje kva som var meininga.

Stadfest og hald ein veg ut

Test den godkjende applikasjonen frå den verkelege prosessen og brukarkonteksten, ikkje frå eit administratorskal på same maskin. Stadfest deretter at urelaterte destinasjonar blir verande uoppnåelege der designet krev det: ei grense ingen har testa, er ei grense ingen kan påberope seg. Å kople frå den personlege tunnelen bør gjenopprette den førre tilstanden, og den gjenopprettinga er verdt å kontrollere medan nokon framleis ser på.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-veiledninga om nulltillitsarkitektur er nyttig her fordi ho fjernar nettverksplassering som automatisk tillitskjelde, og det er nettopp antekinga som er omstridt. Spørsmålet er ikkje om heimenettet er påliteleg av natur; det er kven som kan nå kva ressurs, frå kva endepunkt og gjennom kva handhevingspunkt. Svar på dei tre, og ta vare på prova saman med avgjerda.