VPN pentru un birou mic: țineți-o departe de controlorul de domeniu

Trei condiții decid dacă singurul server Windows al biroului trebuie să termine și VPN-ul: cât software orientat spre internet sunteți dispus să rulați pe director, dacă puteți autentifica utilizatori la distanță fără acel rol și ce se întâmplă cu accesul dumneavoastră administrativ când gazda repornește. Dacă oricare dintre cele trei are un răspuns prost, separați rolurile. Faptul că biroul este mic schimbă bugetul, nu riscul.

Fiecare mașină din domeniu are încredere într-un controlor de domeniu; un gateway VPN poate fi atins de oricine de pe internet. Această asimetrie este întregul argument.

Două sarcini cu două profile de expunere diferite

Gateway-ul acceptă conexiuni din exterior, așa că ascultătorul, stiva TLS și suprafața de autentificare sunt toate accesibile din rețele neîncrezătoare. Directorul deține o autoritate în care au încredere alte mașini, de aceea îndrumările de întărire ale Microsoft tratează rolul de controlor de domeniu și mediul său de găzduire ca fiind deosebit de sensibile. Fiecare serviciu adăugat pe acea gazdă moștenește poziția de încredere a directorului și adaugă propria suprafață de atac. Comoditatea instalării nu este o frontieră de încredere.

Separarea rolurilor nu elimină dependențele. Utilizatorii la distanță au în continuare nevoie de autentificare, rute, DNS și reguli de acces, iar un gateway care le sare nu este mai sigur, doar mai puțin util.

Autentificare fără rolul de director

Un gateway poate valida acreditările printr-o integrare externă acceptată fără a găzdui directorul însuși. Orice ar fi acea integrare, dați-i un cont ale cărui drepturi corespund scopului: citirea atributelor necesare pentru autentificare, nimic mai mult. Admiterea utilizatorilor VPN nu cere niciodată ca socotelile lor obișnuite să devină administratori de domeniu și nu cere niciodată ca gateway-ul să păstreze o copie a directorului.

Apoi limitați căile de rețea de care clientul la distanță are cu adevărat nevoie. Accesul la un serviciu intern de fișiere, plus serviciile de rezolvare a numelor și de identitate de care depinde acel flux de lucru, este un set definit de căi. Nu este un motiv pentru a permite fiecare port al controlorului de domeniu sau fiecare interfață administrativă din pool-ul VPN.

O singură gazdă rămâne un singur domeniu de eșec

Două gazde virtuale pe un singur hipervizor își separă configurația sistemului de operare și nu își separă soarta. Administratorii hipervizorului, comutarea virtuală, stocarea și copiile de rezervă rămân parte a proiectării, iar o repornire a gazdei elimină ambele servicii deodată. A numi asta disponibilitate ridicată pentru că diagrama arată două VM este o greșeală comună și costisitoare. Dacă singura cale de întoarcere trece prin VPN-ul de pe acea gazdă, o defecțiune ia conexiunea necesară pentru a o repara.

Deci planificați o cale de administrare independentă care nu depinde de tunel, și notați ce rămâne disponibil în timpul mentenanței. Programați separat actualizările gateway-ului și mentenanța directorului, observând ce utilizatori sau aplicații afectează fiecare întrerupere.

O fereastră de mentenanță care cere ca VPN-ul să fie pornit pentru a repara VPN-ul nu este o fereastră de mentenanță.

Mutați-l fără să vă încuiați afară

Dacă rolurile împart deja o instalare, evitați o migrare la distanță grăbită. Inventariați ce deține gateway-ul astăzi: adrese, reguli de redirecționare, NAT, setări DNS, configurație de autentificare și orice servicii publicate. Pregătiți atât înlocuitorul, cât și o cale de întoarcere înainte de a muta ascultătorul sau de a modifica o rută implicită. Apoi testați munca reală a unui utilizator la distanță obișnuit prin noua frontieră și confirmați că accesul administrativ inutil încă eșuează.

Scopul nu este o diagramă mai frumoasă. Este capacitatea de a repara sau reconstrui VPN-ul fără a atinge cutia care ancorează încrederea directorului pentru întregul birou. Sunt obiective diferite, și doar unul dintre ele are nevoie de un al doilea server.

Înregistrați decizia fie și așa, inclusiv condițiile care ar redeschide-o. Un birou mic crește, iar răspunsul potrivit pentru un server poate să nu se potrivească pentru următorul.