Laptop służbowy w osobistym VPN: co faktycznie przechodzi

Podłączenie firmowego laptopa do domowego VPN umieszcza go w dwóch miejscach naraz, a ciekawe pytanie jest mniejsze i użyteczniejsze niż to alarmujące. Nikt nie położył kabla Ethernet między biurem a domem i żadna trasa nie czyni sieci domowej rozszerzeniem firmowej podsieci. Istnieje jeden punkt końcowy z dostępem do obu środowisk, a trzy odrębne mechanizmy decydują, co naprawdę może przemieszczać się między nimi. Przejście przez te trzy, od punktu końcowego na zewnątrz, daje odpowiedź, na której administrator może działać, zamiast sporu o etykiety.

Zacznij od punktu końcowego, nie od schematu sieci

Punkt końcowy to miejsce, w którym spotykają się oba połączenia, więc tam zaczyna się przegląd: jakie procesy działają, do czego mogą dotrzeć i kto nimi zarządza. Schemat pokazujący dwie chmury podłączone do laptopa jest poprawny i bezużyteczny, bo sugeruje łącze, którego może nie być. Zastąp go listą aplikacji, które mogą rozmawiać z każdym środowiskiem, i zanotuj, na jakim koncie działa każda z nich. Ta rama utrzymuje też przegląd proporcjonalny, ponieważ laptop z dwoma tunelami nie jest tym samym obiektem co dwie połączone sieci.

Ta lista to inwentarz, z którego pracuje reszta przeglądu. Jeśli zawiera klienta synchronizacji, profil przeglądarki zalogowany w obu środowiskach i agenta kompilacji z poświadczeniami, przegląd ma już swoje przedmioty.

Trzy punkty przejścia, przejrzane osobno

Dostęp aplikacji jest pierwszym punktem przejścia i nie wymaga żadnego przekazywania. Karta przeglądarki, klient synchronizacji lub agent kompilacji w punkcie końcowym mogą czytać z zasobu w jednym środowisku i wysyłać dane do zasobu w drugim. Ta zdolność istnieje niezależnie od tego, czy system operacyjny przekazuje pakiety między interfejsami, i to właśnie ten mechanizm ludzie pomijają, gdy dochodzą do wniosku, że brak mostu oznacza brak ryzyka. Dlatego czytanie listy aplikacji daje więcej niż czytanie listy interfejsów.

Tożsamość i dane tworzą drugi punkt przejścia. Firmowe poświadczenia, pliki cookie sesji, pobrane dokumenty i uprawnienia administracyjne żyją w punkcie końcowym, a dołączenie do innej sieci samo ich nie ujawnia. Zmienia się zbiór stron, które mogłyby wpłynąć na punkt końcowy, dopóki trzyma on te poświadczenia, a to pytanie o wiarygodność sieci osobistej, nie o routing. To osąd, którego właściciel punktu końcowego nie może podjąć sam, i nie odpowiada na niego brak reguły przekazywania.

Przekazywanie sieciowe jest trzecie i jedyne, które może zamienić laptopa w urządzenie tranzytowe. Przekazywanie IP, udostępnianie połączenia internetowego, proxy lub funkcja mostu mogą to zrobić, a każde z nich jest konfiguracją, która jest albo włączona, albo nie. Sprawdź ten stan bezpośrednio, zamiast wnioskować go z obecności klienta VPN. Na maszynie zarządzanej odpowiedź zwykle brzmi nie, a jej weryfikacja zamienia założenie w fakt wart odnotowania.

Proś o jeden zasób, nie o dwie sieci

Większość rzeczywistych wymagań jest węższa, niż wydaje się na początku: jedna konsola, jeden udział plików, jedna wewnętrzna aplikacja webowa. Sformułuj wymaganie w ten sposób i pozwól właścicielowi zasobu zdecydować, czy w ogóle należy ono do tego punktu końcowego. Prośba sformułowana jako połączenie dwóch sieci jest trudna do zatwierdzenia i łatwa do odrzucenia; prośba o jedną nazwaną usługę ma odpowiedź.

Jeśli odpowiedź brzmi tak, preferuj najwęższą obsługiwaną ścieżkę i utrzymaj ją w istniejących kontrolach organizacji. Zarządzany drugi profil lub wpis aplikacji o ograniczonym zakresie zachowują monitorowanie i politykę; konkurencyjna konfiguracja osobista po cichu je zastępuje i nikt nie wie, która wygrywa po następnej aktualizacji.

Uwzględnij efekty DNS i tras

Rozwiązywanie nazw zmienia się w chwili, gdy drugi profil jest aktywny. Osobisty klient może narzucić własny resolver, przeglądarka może używać własnego szyfrowanego DNS, a tabela zasad może kierować nazwy wewnętrzne do innego serwera, niż oczekuje konfiguracja firmowa. Nic z tego nie wymaga przekazywania, a każde z nich może wysłać wewnętrzną nazwę hosta w niewłaściwe miejsce.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Przechwyć te trzy wyniki przed połączeniem drugiego profilu i po nim. Różnica między nimi to efekt, który naprawdę dociera do użytkownika, i często jest większa niż zmiana routingu opisana w zgłoszeniu. Zachowaj oba zapisy, aby późniejszy recenzent widział, co się zmieniło, a nie co było zamierzone.

Zweryfikuj i zachowaj drogę wyjścia

Testuj zatwierdzoną aplikację z rzeczywistego procesu i kontekstu użytkownika, a nie z powłoki administratora na tej samej maszynie. Następnie potwierdź, że niepowiązane cele pozostają nieosiągalne tam, gdzie wymaga tego projekt: granica, której nikt nie przetestował, jest granicą, na którą nikt nie może się powołać. Odłączenie osobistego tunelu powinno przywrócić poprzedni stan, a to przywrócenie warto sprawdzić, dopóki ktoś jeszcze patrzy.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Wytyczne NIST dotyczące architektury zero zaufania są tu przydatne, ponieważ usuwają lokalizację sieciową jako automatyczne źródło zaufania, a to jest dokładnie to założenie, o które toczy się spór. Pytanie nie brzmi, czy sieć domowa jest z natury godna zaufania; chodzi o to, kto może dotrzeć do jakiego zasobu, z którego punktu końcowego i przez który punkt egzekwowania. Odpowiedz na te trzy i zachowaj dowody wraz z decyzją.