Pracovný VPN v Saudskej Arábii: tri otázky pred žiadosťou o prístup

Odmietnuté druhé prihlásenie alebo zablokovaná interná aplikácia len zriedka naznačujú pokazený tunel. Pracovné VPN vynucujú tri oddelené veci: kam účet dosiahne, koľko relácií udrží a ktoré interné služby sú zverejnené vzdialeným používateľom. Položte tieto tri otázky v poradí, pretože každá má iného vlastníka. Zverejnený rámec, ako je príručka NCA pre zavádzanie práce na diaľku, je užitočný rámec pre rozhovor, nie verdikt o niekoho právnom postavení.

Po prvé: kam tento účet smie dosiahnuť?

Prístupové práva sa určujú citlivosťou systému, úrovňou prístupu a povoleným typom zariadenia, a to sú organizačné rozhodnutia, nie vlastnosti tunela. Vlastníctvo hesla odpovedá len na to, či sa spojenie dá nadviazať. Nehovorí, či účet smie otvoriť dokument, spravovať server alebo zmeniť radič. Žiadajte zamýšľaný prostriedok a operáciu, nie prístup k celej sieti.

Žiadosť formulovaná ako cieľ sa schvaľuje ľahšie než žiadosť formulovaná ako pocit. Preto je prvá otázka o prostriedku, nie o sieti.

NCA 2-2-1-1 viaže prístupové práva presne na tieto tri rozmery, preto musí odpoveď pomenovať systém a operáciu. Rovnaká logika sa objavuje v pokynoch pre nulovú dôveru: umiestnenie v sieti nie je autorizácia. Používateľ na podnikovom VPN a používateľ na domácom pripojení môžu byť obaja autentifikovaní, a aplikácia aj tak rozhoduje, čo každý smie.

Po druhé: koľko relácií môže bežať naraz?

Súbežný vzdialený prístup je samostatná kontrola a NCA 2-2-1-2 ho pokrýva spolu s cestou schválenia výnimiek. Organizácie ho často obmedzujú, niekedy na jednu aktívnu reláciu na účet. Limit je číslo zásady, ktoré nastavuje operátor, nie konštanta protokolu, takže vám nikto mimo organizácie hodnotu nepovie. Zastaraná relácia, ktorú nikto nevie zavrieť, je prevádzkový problém, o ktorom stojí za to hlásiť samostatne.

Ak je druhý notebook odmietnutý, obvyklým vysvetlením je prvá relácia. Pýtajte sa, ako operátor identifikuje relácie a ako sa zavierajú zastarané; niektoré systémy nechajú neaktívnu reláciu vypršať, iné ju držia, kým sa výslovne neukončí. Nepreinstalúvajte klienta, nemeňte profil a nemeňte výstupy, kým táto odpoveď nepríde.

Po tretie: ktoré interné služby sú zverejnené?

Vzdialený prístup zvyčajne zverejňuje určenú sadu služieb, protokolov a portov a NCA 2-4-1-1 drží túto sadu na tom, čo práca na diaľku skutočne potrebuje. Zoznam je menší než privátna sieť, a je to zámer. Pýtajte sa, ktorú službu a port potrebujete, namiesto žiadosti o širokú dostupnosť, pretože širokú žiadosť je ťažšie zdôvodniť a oveľa ťažšie neskôr skontrolovať.

Žiadosť o podporu má obsahovať rolu účtu, schválené zariadenie, cieľovú službu, čas zlyhania a necitlivý text chyby. Pošlite ju kanálom organizácie, nie tomu, kto prvý odpovie v skupinovom chate. To vlastníkovi stačí na kontrolu zásady a logov. Heslá, kódy na obnovu a súkromné kľúče tam nepatria.

Čo robiť, keď je odpoveď nie

Odmietnutie je často nesúlad rozsahu, nie bezpečnostný verdikt. Služba môže byť zverejnená len pre kancelárske adresy, alebo role môže chýbať operácia, aj keď tunel funguje. Pýtajte sa, ktorá z troch otázok zlyhala, a riešenie sa zvyčajne stane zrejmým. Ak treba výnimku, požiadajte vlastníka, aby ju zaznamenal, namiesto obchádzania.

Nepožičiavajte si reláciu kolegu, nevypínajte kontrolu klienta a neveďte prevádzku neschváleným výstupom, aby test prešiel. Každé z toho nahrádza auditovateľné odmietnutie úspechom, ktorý nikto nevie auditovať, a najbližšia revízia rozdiel nájde. Schválená výnimka je pomalšia a audit prežije.

Otázky, ktoré si vezmete k vlastníkovi

Zapíšte si ich pred hovorom: na ktoré prostriedky a operácie je tento účet schválený, aká je zásada súbežných relácií a ako sa čistia zastarané relácie, a ktoré interné služby a porty sú zverejnené vzdialeným používateľom. Požiadajte vlastníka o potvrdenie aktuálnej použiteľnosti, pretože príručky sa revidujú a interná zásada môže byť prísnejšia než zverejnený základ. Doplňte požiadavku na zariadenie, ak ju organizácia má.

Rámec kontrol vám pomáha klásť presné otázky. Neoprávňuje činnosť a nenahrádza odpoveď operátora.

Prineste odpovede späť tomu istému vlastníkovi, keď sa navrhne ďalšia zmena. To je to, čo z jednorazového schválenia robí zásadu, ktorú niekto udržiava.