VPN pre malú kanceláriu: držte ju mimo radiča domény

O tom, či má jediný Windows server kancelárie ukončovať aj VPN, rozhodujú tri podmienky: koľko softvéru obráteného do internetu ste ochotní prevádzkovať na adresári, či dokážete overovať vzdialených používateľov bez tejto úlohy a čo sa stane s vaším správcovským prístupom pri reštarte hostiteľa. Ak má niektorá z troch zlú odpoveď, úlohy oddeľte. To, že je kancelária malá, mení rozpočet, nie riziko.

Každý stroj v doméne dôveruje radiču domény; brána VPN je dostupná komukoľvek na internete. Táto asymetria je celý argument.

Dve práce s dvoma rôznymi profilmi expozície

Brána prijíma spojenia zvonka, takže jej poslucháč, zásobník TLS aj povrch na overovanie sú dostupné z nedôveryhodných sietí. Adresár drží autoritu, ktorej dôverujú iné stroje, preto pokyny Microsoftu na spevnenie považujú úlohu radiča domény a jeho hostiteľské prostredie za obzvlášť citlivé. Každá služba pridaná na tohto hostiteľa dedí pozíciu dôvery adresára a pridáva vlastný útočný povrch. Pohodlie inštalácie nie je hranica dôvery.

Oddelenie úloh neodstraňuje závislosti. Vzdialení používatelia stále potrebujú overovanie, trasy, DNS a pravidlá prístupu, a brána, ktorá ich preskakuje, nie je bezpečnejšia, len menej užitočná.

Overovanie bez úlohy adresára

Brána môže overovať prihlasovacie údaje prostredníctvom podporovanej externej integrácie bez hostovania samotného adresára. Nech je táto integrácia akákoľvek, dajte jej účet, ktorého práva zodpovedajú účelu: čítanie atribútov potrebných na overenie, nič viac. Prijímanie používateľov VPN nikdy nevyžaduje, aby sa ich bežné účty stali správcami domény, a nikdy nevyžaduje, aby brána držala kópiu adresára.

Potom vymedzte sieťové cesty, ktoré vzdialený klient skutočne potrebuje. Prístup k jednej internej súborovej službe plus služby prekladu názvov a identity, na ktorých tento pracovný postup závisí, je definovaná množina ciest. Nie je to dôvod povoliť každý port radiča domény alebo každé administratívne rozhranie z fondu VPN.

Jeden hostiteľ je stále jedna doména zlyhania

Dvaja hostia na jednom hypervisore oddeľujú konfiguráciu svojich operačných systémov a neoddeľujú svoj osud. Správcovia hypervisora, virtuálne prepínanie, úložisko a zálohy zostávajú súčasťou návrhu a reštart hostiteľa odstráni obe služby naraz. Nazývať to vysokou dostupnosťou preto, že diagram ukazuje dva VM, je častá a drahá chyba. Ak jediná cesta späť vedie cez VPN na tomto hostiteľovi, výpadok vezme spojenie potrebné na jeho opravu.

Preto naplánujte nezávislú cestu správy, ktorá nezávisí od tunela, a zapíšte, čo zostane dostupné počas údržby. Aktualizácie brány a údržbu adresára plánujte oddelene a poznamenajte, ktorých používateľov alebo aplikácií sa každé prerušenie dotkne.

Okno údržby, ktoré vyžaduje, aby VPN bežala, aby sa VPN opravila, nie je okno údržby.

Presuňte to bez toho, aby ste sa zamkli vonku

Ak úlohy už zdieľajú jednu inštaláciu, vyhnite sa unáhlenej vzdialenej migrácii. Zinventarizujte, čo brána dnes vlastní: adresy, pravidlá preposielania, NAT, nastavenia DNS, konfiguráciu overovania a všetky publikované služby. Pripravte náhradu aj cestu späť, než presuniete poslucháča alebo zmeníte predvolenú trasu. Potom otestujte skutočnú prácu bežného vzdialeného používateľa cez novú hranicu a potvrďte, že zbytočný administratívny prístup stále zlyháva.

Cieľom nie je krajší diagram. Je to schopnosť opraviť alebo prestavať VPN bez toho, aby ste sa dotkli krabice, ktorá ukotvuje dôveru adresára pre celú kanceláriu. To sú rôzne ciele a len jeden z nich potrebuje druhý server.

Rozhodnutie zaznamenajte tak či tak, vrátane podmienok, ktoré by ho znovu otvorili. Malá kancelária rastie a odpoveď, ktorá sedela jednému serveru, nemusí sedieť ďalšiemu.