Radni laptop na ličnom VPN-u: šta zapravo prelazi

Spojiti službeni laptop na kućni VPN znači držati ga na dva mesta u isto vreme, a pravo pitanje je uže i korisnije od uznemirujućeg. Između kancelarije i stana nema mrežnog kabla, niti ijedna ruta čini kućnu mrežu delom korporativne podmreže. Ono što postoji jeste jedan uređaj sa pristupom obema sredinama, a tri zasebna mehanizma određuju šta zapravo može preći između njih. Ako se ta tri obiđu redom, od uređaja ka spolja, dobija se odgovor na koji se može postupiti umesto prepirke o nazivima.

Pođite od uređaja, a ne od mrežne šeme

Uređaj je mesto gde se oba priključka sastaju, pa tu počinje pregled: koji procesi rade, dokle mogu da stignu i ko njima upravlja. Šema sa dva oblaka spojena na laptop je tačna i beskorisna, jer prikazuje vezu koje možda nema. Zamenite je spiskom aplikacija koje umeju da razgovaraju sa svakom sredinom i zabeležite pod kojim nalogom svaka radi. Takav okvir drži pregled srazmernim, pošto laptop sa dva tunela nije isto što i dve spojene mreže.

Taj spisak je popis od kog polazi ostatak pregleda. Ako sadrži klijenta za sinhronizaciju, profil pregledača prijavljen u obe sredine i agenta za izgradnju sa akreditivima, pregled već ima svoje predmete.

Tri tačke prelaska, pregledane jedna po jedna

Pristup aplikacija je prva tačka prelaska i ne traži nikakvo prosleđivanje. Kartica pregledača, klijent za sinhronizaciju ili agent za izgradnju na uređaju mogu da čitaju iz resursa u jednoj sredini i šalju podatke u resurs u drugoj. Ta mogućnost postoji bez obzira na to da li operativni sistem prosleđuje pakete između interfejsa, i upravo nju ljudi previde kada zaključe da nema mosta znači nema rizika. Zato čitanje spiska aplikacija daje više od čitanja spiska interfejsa.

Identitet i podaci čine drugu tačku prelaska. Korporativni akreditivi, kolačići sesije, preuzeti dokumenti i prava upravljanja nalaze se na uređaju, a pridruživanje drugoj mreži ih samo po sebi ne otkriva. Menja se skup strana koje bi mogle uticati na uređaj dok on čuva te akreditive, a to je pitanje pouzdanosti lične mreže, ne rutiranja. To je procena koju vlasnik uređaja ne može doneti sam, i na nju ne odgovara odsustvo pravila prosleđivanja.

Mrežno prosleđivanje je treće i jedino koje laptop može pretvoriti u tranzitni uređaj. Prosleđivanje IP-a, deljenje internet veze, proxy ili funkcija premosnice mogu to da učine, a svako je podešavanje koje je ili uključeno ili nije. Proverite to stanje neposredno umesto da ga izvedete iz prisustva VPN klijenta. Na upravljanoj mašini odgovor je obično ne, a provera pretvara pretpostavku u činjenicu koju vredi zapisati.

Tražite jedan resurs, a ne dve mreže

Većina stvarnih zahteva uža je nego što izgleda na prvi pogled: jedna konzola, jedan deljeni direktorijum, jedna interna veb aplikacija. Formulišite zahtev tako i prepustite vlasniku resursa da odluči da li uopšte pripada ovom uređaju. Zahtev sastavljen kao spajanje dve mreže teško je odobriti i lako odbiti; zahtev za jednom imenovanom uslugom ima odgovor.

Ako je odgovor da, izaberite najuži podržani put i zadržite ga unutar postojećih kontrola organizacije. Upravljani drugi profil ili unos aplikacije ograničenog obima čuvaju nadzor i politiku; suparnička lična konfiguracija ih tiho zamenjuje i niko ne zna koja pobeđuje posle sledećeg ažuriranja.

Uključite efekte DNS-a i ruta

Razrešavanje imena menja se istog trenutka kada drugi profil postane aktivan. Lični klijent može da nametne svoj razrešivač, pregledač može da koristi sopstveni šifrovani DNS, a tabela politike može da usmeri interna imena na drugi server od onog koji korporativna konfiguracija očekuje. Ništa od toga ne traži prosleđivanje, a bilo šta od toga može poslati interno ime hosta na pogrešno mesto.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Zabeležite ta tri izlaza pre i posle povezivanja drugog profila. Razlika među njima je efekat koji zaista stiže do korisnika i često je veća od promene rutiranja opisane u tiketu. Sačuvajte oba snimka da bi kasniji pregledalac video šta se promenilo, a ne šta je bila namera.

Proverite i zadržite izlaz

Testirajte odobrenu aplikaciju iz stvarnog procesa i korisničkog konteksta, a ne iz administratorske ljuske na istoj mašini. Zatim potvrdite da nepovezana odredišta ostaju nedostupna tamo gde dizajn to zahteva: granica koju niko nije testirao je granica na koju se niko ne može pozvati. Isključivanje ličnog tunela trebalo bi da vrati prethodno stanje, a to vraćanje vredi proveriti dok još neko gleda.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST smernice o arhitekturi nultog poverenja korisne su ovde jer uklanjaju mrežnu lokaciju kao automatski izvor poverenja, a to je upravo pretpostavka o kojoj je reč. Pitanje nije da li je kućna mreža po prirodi pouzdana; pitanje je ko može da dođe do kog resursa, sa kog uređaja i kroz koju tačku sprovođenja. Odgovorite na ta tri i čuvajte dokaze uz odluku.