VPN dostop strank: dajte privilegiranemu delu lastno napravo

Profil povezave pravi Production, tunel se dvigne in vsako okno na namizju zdaj doseže sisteme stranke. Nič v tem zaporedju ni ločilo privilegirane seje od sosednjega zavihka brskalnika. Profil VPN je ime in niz poti; meja, ki vas res zanima, se zgradi iz identitete naprave, nadzorovanega izvajalnega okolja in poti za poverilnice. Ti trije se uveljavljajo na različnih mestih, zato dodajanje enega in izpuščanje drugih ustvari zasnovo, ki je videti skladna, pa ni.

Ime profila ni meja

Odjemalec uporabi poti in konfiguracijo DNS, ko se tunel dvigne, in vse, kar nato teče na tem stroju, podeduje oboje.

Ime na spustnem seznamu spremeni, kaj operater prepozna, ne pa, kaj dovoli operacijski sistem.

Identiteta naprave je tisto, kar prehod lahko preveri

Prehod, ki podpira potrdila naprav ali preverjanja stanja, overi stroj in osebo. To je plast, ki lahko zavrne povezavo z neupravljanega prenosnika, preden kdo vtipka geslo. Da vam tudi nekaj konkretnega za preklic, ko se naprava izgubi. Kopiranje enega potrdila na tri stroje odpravi prav to lastnost, zato življenjski cikel potrdila spada v dogovor in ne v skupno mapo.

Stranka odloči, katere od teh kontrol zahteva njena politika, in virtualni stroj, ki ga je zgradil dobavitelj, morda sploh ne izpolnjuje preverjanja stanja.

Kje meja virtualnega stroja pušča

Virtualni stroj drži orodja stranke in stanje omrežja skupaj, in to je resnično koristno. Vendar je odvisen od svojega gostitelja in hipervizorja, več priročnosti pa prestopi mejo: skupne mape, integracija odložišča, agenti za poverilnice in upravljanje na ravni gostitelja. Privilegiran gost na gostitelju za vsakodnevno rabo ni neodvisno zanesljiv, ker lahko gostitelj opazuje, kaj gost počne. Virtualni stroj obravnavajte kot kontrolo, ki zmanjšuje izpostavljenost, ne kot ločeno varnostno domeno.

Namenska fizična naprava odpravi odvisnost od gostitelja in namesto nje doda obveznost vzdrževanja.

Poverilnice in poti prenosa

Uporabljajte posamezne, preklicljive identitete za vsakega inženirja in vsako stranko ter jih držite zunaj osebnih profilov brskalnika in zgodovine klepeta. Poverilnic, ki jih deli cela ekipa, ni mogoče čisto pripisati, zavrteti ali preklicati. Pred prvo sejo določite pot prenosa za orodja, datoteke in diagnostični izhod, ker je naključno premikanje datotek način, kako meja tiho preneha biti meja. Če je treba hkrati doseči dve stranki, najprej pridobite odobritev ločitve omrežja in identitete.

Nikoli ne povežite dveh omrežij strank prek ene delovne postaje samo zato, ker je bilo tisto popoldne priročno.

Dogovor, ki to naredi ponovljivo

Napišite kratek zapis za vsako stranko in ga hranite tam, kjer ga najdeta obe strani. Navesti mora odobreno napravo ali oddaljeno okolje in kdo ga vzdržuje, dovoljene identitete, sisteme in operacije, do katerih se lahko dokopljejo, pot prenosa in običajen način, kako se seja konča.

Pet vrstic, ki jih nekdo pregleda, ko oseba pride ali odide, premaga politiko, ki je nihče ne more uporabiti:

• Odobrena naprava ali oddaljeno okolje z imenovanim lastnikom vzdrževanja.
• Posamezne uporabniške in identitete naprave, dovoljene za podporo.
• Sistemi in operacije, do katerih te identitete lahko dostopajo.
• Dovoljena pot za orodja, datoteke in diagnostični izhod.
• Postopek končanja seje in pooblaščena izjemna alternativa.

Izjemni dostop brez premikanja poverilnic

Ko kontrola blokira nujno popravilo, je pot postopek izjeme, ne drugi prenosnik z istimi poverilnicami. Odobrena izjema zabeleži, kdo jo je odobril, kaj je bilo omiljeno in kdaj se konča. Premikanje poverilnice na stroj za vsakodnevno rabo spremeni mejo v najslabšem možnem trenutku in običajno po tem ostane spremenjena. Izjemna pot si zasluži vajo, dokler ni nič pokvarjeno.

Nato končajte sejo tako, kot pravi dogovor, in potrdite, da se je dostop res ustavil.