VPN para um escritório pequeno: mantenha-a longe do controlador de domínio

Três condições decidem se o único servidor Windows do escritório também deve encerrar a VPN: quanto software voltado para a internet você aceita executar no diretório, se consegue autenticar usuários remotos sem essa função e o que acontece com seu acesso administrativo quando o host reinicia. Se qualquer uma das três tiver uma resposta ruim, separe as funções. O escritório ser pequeno muda o orçamento, não o risco.

Todas as máquinas do domínio confiam em um controlador de domínio; um gateway VPN é alcançável por qualquer pessoa na internet. Essa assimetria é todo o argumento.

Duas tarefas com dois perfis de exposição diferentes

O gateway aceita conexões de fora, então seu listener, sua pilha TLS e sua superfície de autenticação são todos alcançáveis a partir de redes não confiáveis. O diretório detém uma autoridade em que outras máquinas confiam, por isso as diretrizes de endurecimento da Microsoft tratam a função de controlador de domínio e seu ambiente de hospedagem como especialmente sensíveis. Cada serviço adicionado a esse host herda a posição de confiança do diretório enquanto acrescenta sua própria superfície de ataque. A comodidade da instalação não é uma fronteira de confiança.

Separar as funções não elimina as dependências. Os usuários remotos ainda precisam de autenticação, rotas, DNS e regras de acesso, e um gateway que as ignora não é mais seguro, apenas menos útil.

Autenticação sem a função de diretório

Um gateway pode validar credenciais por meio de uma integração externa suportada sem hospedar o próprio diretório. Seja qual for essa integração, dê a ela uma conta cujos direitos correspondam ao propósito: ler os atributos necessários para autenticar, nada mais. Admitir usuários de VPN nunca exige transformar suas contas comuns em administradores de domínio, nem exige que o gateway guarde uma cópia do diretório.

Depois, limite os caminhos de rede de que o cliente remoto realmente precisa. O acesso a um serviço de arquivos interno, mais os serviços de resolução de nomes e de identidade dos quais esse fluxo de trabalho depende, é um conjunto definido de caminhos. Não é motivo para permitir todas as portas do controlador de domínio nem todas as interfaces administrativas a partir do pool de VPN.

Um único host ainda é um único domínio de falha

Dois convidados em um único hipervisor separam sua configuração de sistema operacional e não separam seu destino. Os administradores do hipervisor, a comutação virtual, o armazenamento e os backups continuam fazendo parte do projeto, e uma reinicialização do host remove os dois serviços de uma vez. Chamar isso de alta disponibilidade porque o diagrama mostra duas VMs é um erro comum e caro. Se o único caminho de volta passa pela VPN nesse host, uma falha leva a conexão necessária para consertá-la.

Portanto, planeje um caminho de gestão independente que não dependa do túnel, e anote o que permanece disponível durante a manutenção. Agende as atualizações do gateway e a manutenção do diretório separadamente, observando quais usuários ou aplicações cada interrupção afeta.

Uma janela de manutenção que exige que a VPN esteja ativa para consertar a VPN não é uma janela de manutenção.

Mova-o sem se trancar para fora

Se as funções já compartilham uma instalação, evite uma migração remota apressada. Inventarie o que o gateway possui hoje: endereços, regras de encaminhamento, NAT, configurações de DNS, configuração de autenticação e quaisquer serviços publicados. Prepare tanto a substituição quanto um caminho de volta antes de mover o listener ou alterar uma rota padrão. Depois teste o trabalho real de um usuário remoto comum através da nova fronteira, e confirme que o acesso administrativo desnecessário ainda falha.

O objetivo não é um diagrama mais bonito. É a capacidade de consertar ou reconstruir a VPN sem tocar na caixa que ancora a confiança do diretório para todo o escritório. São objetivos diferentes, e apenas um deles precisa de um segundo servidor.

Registre a decisão de qualquer forma, incluindo as condições que a reabririam. Um escritório pequeno cresce, e a resposta que servia a um servidor pode não servir ao próximo.