Pracovný notebook na osobnom VPN: čo vlastne prechádza

Pripojenie firemného notebooku k domácemu VPN ho umiestni na dve miesta súčasne a zaujímavá otázka je menšia a užitočnejšia než tá alarmujúca. Nikto nepotiahol ethernetový kábel medzi kanceláriou a domovom a žiadna trasa nerobí z domácej siete predĺženie firemnej podsiete. Existuje jediný koncový bod s prístupom do oboch prostredí a tri samostatné mechanizmy rozhodujú, čo medzi nimi môže skutočne putovať. Prejdenie týchto troch od koncového bodu von dáva odpoveď, podľa ktorej môže správca konať, namiesto sporu o označenia.

Začnite pri koncovom bode, nie pri sieťovej schéme

Koncový bod je miesto, kde sa obe pripojenia stretávajú, takže tam revízia začína: ktoré procesy bežia, kam sa dostanú a kto ich riadi. Schéma, ktorá ukazuje dva oblaky pripojené k notebooku, je presná a nepoužiteľná, pretože naznačuje spojenie, ktoré nemusí existovať. Nahraďte ju zoznamom aplikácií, ktoré môžu komunikovať s každým prostredím, a poznamenajte, pod akým účtom každá beží. Tento rámec udržiava aj revíziu primeranú, pretože notebook s dvoma tunelmi nie je ten istý objekt ako dve spojené siete.

Tento zoznam je inventár, z ktorého pracuje zvyšok revízie. Ak obsahuje synchronizačného klienta, profil prehliadača prihlásený do oboch prostredí a agenta zostavenia s prihlasovacími údajmi, revízia už má svoje subjekty.

Tri body prechodu, posúdené oddelene

Prístup aplikácií je prvý bod prechodu a nevyžaduje žiadne preposielanie. Karta prehliadača, synchronizačný klient alebo agent zostavenia na koncovom bode môžu čítať zo zdroja v jednom prostredí a odosielať dáta do zdroja v druhom. Táto schopnosť existuje bez ohľadu na to, či operačný systém preposiela pakety medzi rozhraniami, a práve tento mechanizmus ľudia prehliadnu, keď usúdia, že žiadny most znamená žiadne riziko. Čítanie zoznamu aplikácií je preto informatívnejšie než čítanie zoznamu rozhraní.

Identita a dáta tvoria druhý bod prechodu. Firemné prihlasovacie údaje, relačné cookies, stiahnuté dokumenty a práva správy žijú na koncovom bode a pripojenie k inej sieti ich samo neprezradí. Mení sa množina strán, ktoré by mohli koncový bod ovplyvniť, kým drží tieto údaje, a to je otázka dôveryhodnosti osobnej siete, nie smerovania. Je to úsudok, ktorý vlastník koncového bodu nemôže urobiť sám, a neodpovedá naň neprítomnosť pravidla preposielania.

Sieťové preposielanie je tretie a jediné, ktoré môže notebook premeniť na tranzitné zariadenie. Preposielanie IP, zdieľanie internetového pripojenia, proxy alebo funkcia mosta to dokážu a každé z nich je konfigurácia, ktorá je buď zapnutá, alebo nie. Skontrolujte tento stav priamo, namiesto toho, aby ste ho odvodzovali z prítomnosti klienta VPN. Na spravovanom stroji je odpoveď zvyčajne nie a jej overenie premení predpoklad na fakt, ktorý stojí za zaznamenanie.

Žiadajte jeden zdroj, nie dve siete

Väčšina skutočných požiadaviek je užšia, než sa na prvý pohľad zdá: jedna konzola, jedno zdieľanie súborov, jedna interná webová aplikácia. Formulujte požiadavku takto a nechajte vlastníka zdroja rozhodnúť, či na tento koncový bod vôbec patrí. Žiadosť formulovaná ako spojenie dvoch sietí sa ťažko schvaľuje a ľahko odmieta; žiadosť o jednu pomenovanú službu má odpoveď.

Ak je odpoveď áno, uprednostnite najužšiu podporovanú cestu a udržte ju v rámci existujúcich kontrol organizácie. Spravovaný druhý profil alebo aplikačný záznam s obmedzeným rozsahom zachováva monitorovanie a politiku; konkurenčná osobná konfigurácia ich ticho nahradí a nikto nevie, ktorá po najbližšej aktualizácii vyhrá.

Zahrňte vplyv DNS a trás

Preklad mien sa zmení v okamihu, keď je aktívny druhý profil. Osobný klient môže presadiť vlastný resolver, prehliadač môže používať vlastné šifrované DNS a tabuľka pravidiel môže smerovať interné mená na iný server, než očakáva firemná konfigurácia. Nič z toho nevyžaduje preposielanie a ktorékoľvek z toho môže poslať interné meno hostiteľa na nesprávne miesto.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Zachyťte tieto tri výstupy pred pripojením druhého profilu a po ňom. Rozdiel medzi nimi je efekt, ktorý sa skutočne dostane k používateľovi, a často je väčší než zmena smerovania opísaná v tikete. Uchovajte oba záznamy, aby neskorší recenzent videl, čo sa zmenilo, a nie čo bolo zamýšľané.

Overte a ponechajte cestu von

Testujte schválenú aplikáciu zo skutočného procesu a používateľského kontextu, nie z administrátorského shellu na tom istom stroji. Potom potvrďte, že nesúvisiace ciele zostávajú nedosiahnuteľné tam, kde to návrh vyžaduje: hranica, ktorú nikto netestoval, je hranica, na ktorú sa nikto nemôže odvolávať. Odpojenie osobného tunela by malo obnoviť predchádzajúci stav a toto obnovenie stojí za kontrolu, kým sa niekto ešte pozerá.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Pokyny NIST k architektúre nulovej dôvery sú tu užitočné, pretože odstraňujú sieťovú polohu ako automatický zdroj dôvery, a to je presne ten sporný predpoklad. Otázka nie je, či je domáca sieť svojou povahou dôveryhodná; ide o to, kto sa ku ktorému zdroju dostane, z ktorého koncového bodu a cez ktorý bod vynútenia. Odpovedzte na tieto tri a uchovajte dôkazy spolu s rozhodnutím.