Arbeidslaptop på en personlig VPN: hva som faktisk passerer

Å koble en firmalaptop til en hjemme-VPN setter den to steder samtidig, og det interessante spørsmålet er mindre og mer nyttig enn det alarmerende. Ingen har lagt en Ethernet-kabel mellom kontoret og hjemmet, og ingen rute gjør hjemmenettet til en forlengelse av firmasubnettet. Det som finnes, er ett endepunkt med tilgang til begge miljøer, og tre separate mekanismer avgjør hva som faktisk kan bevege seg mellom dem. Å gå gjennom disse tre, fra endepunktet og utover, gir et svar en administrator kan handle på i stedet for en debatt om etiketter.

Begynn ved endepunktet, ikke ved nettverksdiagrammet

Endepunktet er der begge forbindelsene møtes, så det er der gjennomgangen begynner: hvilke prosesser som kjører, hva de kan nå og hvem som styrer dem. Et diagram som viser to skyer koblet til en laptop er nøyaktig og ubrukelig, fordi det antyder en forbindelse som kanskje ikke finnes. Erstatt det med en liste over applikasjonene som kan snakke med hvert miljø, og noter hvilken konto hver av dem kjører under. Den rammen holder også gjennomgangen forholdsmessig, siden en laptop med to tunneler ikke er samme objekt som to sammenkoblede nettverk.

Den listen er inventaret resten av gjennomgangen arbeider ut fra. Hvis den inneholder en synkroniseringsklient, en nettleserprofil innlogget i begge miljøer og en byggeagent med legitimasjon, har gjennomgangen allerede sine emner.

Tre overgangspunkter, gjennomgått hver for seg

Applikasjonstilgang er det første overgangspunktet, og det krever ingen videresending. En nettleserfane, en synkroniseringsklient eller en byggeagent på endepunktet kan lese fra en ressurs i det ene miljøet og sende data til en ressurs i det andre. Den evnen finnes uansett om operativsystemet videresender pakker mellom grensesnitt, og det er mekanismen folk overser når de konkluderer med at ingen bro betyr ingen risiko. Å lese listen over applikasjoner er derfor mer informativt enn å lese listen over grensesnitt.

Identitet og data utgjør det andre overgangspunktet. Firmalegitimasjon, sesjonskapsler, nedlastede dokumenter og administrasjonsrettigheter ligger på endepunktet, og å koble seg til et annet nettverk avslører dem ikke av seg selv. Det som endres, er settet av parter som kan påvirke endepunktet mens det holder denne legitimasjonen, og det er et spørsmål om det personlige nettverkets pålitelighet snarere enn om ruting. Det er en vurdering endepunktets eier ikke kan gjøre alene, og den besvares ikke av at en videresendingsregel mangler.

Nettverksvideresending er den tredje, og den eneste som kan gjøre laptoppen til en transittenhet. IP-videresending, deling av internettforbindelse, en proxy eller en brofunksjon kan hver gjøre det, og hver av dem er en konfigurasjon som enten er aktivert eller ikke. Undersøk den tilstanden direkte i stedet for å utlede den fra tilstedeværelsen av en VPN-klient. På en administrert maskin er svaret vanligvis nei, og å verifisere det gjør en antakelse om til et faktum som er verdt å notere.

Be om én ressurs, ikke to nettverk

De fleste reelle krav er smalere enn de først ser ut: én konsoll, én fildeling, én intern webapplikasjon. Formuler kravet slik, og la eieren av ressursen avgjøre om det i det hele tatt hører til på dette endepunktet. En forespørsel formulert som en sammenslåing av to nettverk er vanskelig å godkjenne og lett å avslå; en forespørsel om én navngitt tjeneste har et svar.

Hvis svaret er ja, foretrekk den smaleste støttede veien og hold den innenfor organisasjonens eksisterende kontroller. En administrert andre profil eller en avgrenset applikasjonsoppføring bevarer overvåking og policy; en konkurrerende personlig konfigurasjon erstatter dem i det stille, og ingen vet hvilken som vinner etter neste oppdatering.

Ta med DNS- og ruteeffekter

Navneoppslag endrer seg i det øyeblikket en andre profil er aktiv. En personlig klient kan presse på sin egen resolver, en nettleser kan bruke sin egen krypterte DNS, og en policytabell kan rute interne navn til en annen server enn firmakonfigurasjonen forventer. Ingenting av dette krever videresending, og hvilket som helst av dem kan sende et internt vertsnavn til feil sted.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Fang de tre utdataene før og etter at den andre profilen kobler til. Forskjellen mellom dem er effekten som faktisk når brukeren, og den er ofte større enn ruteendringen saken beskriver. Ta vare på begge opptakene, slik at en senere gjennomgang kan se hva som endret seg og ikke hva som var hensikten.

Verifiser og behold en vei ut

Test den godkjente applikasjonen fra den virkelige prosessen og brukerkonteksten, ikke fra et administratorskall på samme maskin. Bekreft deretter at urelaterte destinasjoner forblir uoppnåelige der designet krever det: en grense ingen har testet, er en grense ingen kan påberope seg. Å koble fra den personlige tunnelen bør gjenopprette den forrige tilstanden, og den gjenopprettingen er verdt å kontrollere mens noen fortsatt ser på.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NISTs veiledning om nulltillitsarkitektur er nyttig her fordi den fjerner nettverksplassering som automatisk tillitskilde, og det er nettopp antakelsen som er omstridt. Spørsmålet er ikke om hjemmenettet er pålitelig av natur; det er hvem som kan nå hvilken ressurs, fra hvilket endepunkt og gjennom hvilket håndhevingspunkt. Svar på de tre, og ta vare på bevisene sammen med beslutningen.