Foreslå en fjernaksess-enhet som nettverkseieren kan godkjenne

En fjernaksess-enhet endrer kundens nettverksgrense selv når den ringer ut og ikke trenger noen innkommende portvideresending. Det er retningen utover som gjør den enkel å installere og som gjør den enkel å overse. Presenter den som en forespørsel om tilgangsdesign før den går på nettverket. Å presentere den som noe du ikke trengte å nevne, er måten en teknisk suksess blir til et kontraktproblem.

Gå ut fra at nettverkseieren stiller fire spørsmål: hva, hvem, hvor langt, og hvordan angrer vi det.

Be om ressursen, ikke om subnettet

Beskriv arbeidet med begrepene eieren bruker: hvilken person som trenger hvilken tjeneste, på hvilken enhet, hvor lenge. En forespørsel avgrenset til én applikasjon på én vert er lett å godkjenne. En forespørsel om et subnett er en forespørsel om å organisere noen andres segmentering på nytt.

Kunden kjører kanskje allerede et godkjent VPN, en gateway for eksternt skrivebord eller en administrert støttekanal som dekker behovet. Sjekk det først, fordi gjenbruk av en eksisterende vei vanligvis er det billigste svaret for begge parter. Passer det ikke, si nøyaktig hvorfor. Den sammenligningen er den sterkeste delen av forslaget.

Hvis en enhet virkelig er nødvendig, ta med eieren, programvarekilden, oppdateringsprosessen og det planlagte installasjonspunktet.

Vis forbindelsen og hvor tilliten slutter

Tegn enheten, fjernbrukeren, eventuelle meklere eller reléer og den beskyttede ressursen. Merk hvor krypteringen avsluttes og hvem som administrerer hvert endepunkt. En økt utover introduserer fortsatt en ny kontrollvei, og det er i diagrammet det blir synlig. Å si at trafikken er kryptert besvarer et konfidensialitetsspørsmål og ikke et autorisasjonsspørsmål.

Oppgi modusen eksplisitt: pakkevideresending, applikasjonsproxy eller et eksponert skrivebord. Hver har ulike konsekvenser for ruting og vertssikkerhet, og hver feiler ulikt når enheten kompromitteres.

Hold urelaterte kundenettverk og enhetens eget administrasjonsgrensesnitt utenfor det godkjente omfanget.

Skill brukeridentitet fra enhetsidentitet

Brukerregistrering, enhetsidentitet, flerfaktorautentisering og applikasjonsinnlogging er fire forskjellige kontroller, og forslaget bør navngi hver av dem. Delte påloggingsdata er den vanlige snarveien, og de gjør eieren ute av stand til å tilbakekalle én person uten å forstyrre alle. Applikasjonsinnlogging bør bli hos applikasjonen. Enheten autentiserer en forbindelse; tjenesten avgjør hva den forbindelsen får gjøre.

NISTs nulltillitsarkitektur er nyttig her fordi den behandler ressurstilgang som en uttrykkelig beslutning snarere enn en følge av nettverksplassering.

Avtal gjenoppretting og fjerning før installasjon

Eieren skal kunne slå av tilgang raskt via en kontroll hen selv betjener, ikke via en telefon til deg. Skriv ned tilbakekalling av påloggingsdata, fjerning av enheten, ansvar for oppdateringer og en utløps- eller revisjonsdato. Behold en lokal gjenopprettingsvei som ikke avhenger av den nye fjernkanalen. En enhet ingen kan fjerne uten leverandøren, er en permanent avhengighet forkledd som en bekvemmelighet.

Hold oversiktene i rimelig omfang: godkjente identiteter, tilgangsomfang, vesentlige endringer og relevante feil.

Innsamling av urelatert nettleserhistorikk for å bevise at enheten finnes er ikke bevis på god drift, og det skaper en forpliktelse eieren aldri ba om.

Hvordan en vellykket godkjenning ser ut

Aksepter designet sammen med eieren med én tillatt tjeneste og én ressurs som må forbli nektet. Den andre halvdelen er den delen folk hopper over, og det er den eneste delen som beviser at grensen ligger der diagrammet sier. Test tilbakekalling på samme måte, før enheten bærer reelt arbeid. Hvis godkjenningen nektes, bruk kundens sanksjonerte alternativ eller gjør arbeidet lokalt.

En fungerende forbindelse er ikke tillatelse til å opprette tilgangsveien.

Skriv godkjenningen ned med omfanget og utløpsdatoen, og gi eieren en kopi. Den neste personen som berører nettverket, vil lese protokollen, ikke din erindring om samtalen.