VPN za majhno pisarno: hranite jo proč od krmilnika domene

Trije pogoji odločajo, ali mora edini strežnik Windows v pisarni zaključevati tudi VPN: koliko internetu obrnjene programske opreme ste pripravljeni izvajati na imeniku, ali lahko preverjate oddaljene uporabnike brez te vloge in kaj se zgodi z vašim skrbniškim dostopom, ko se gostitelj znova zažene. Če ima kateri od treh slab odgovor, ločite vloge. To, da je pisarna majhna, spremeni proračun, ne tveganja.

Vsak stroj v domeni zaupa krmilniku domene; do prehoda VPN lahko dostopa kdorkoli na internetu. Ta asimetrija je celoten argument.

Dve nalogi z dvema različnima profiloma izpostavljenosti

Prehod sprejema povezave od zunaj, zato so njegov poslušalec, sklad TLS in površina za preverjanje pristnosti dostopni iz nezaupljivih omrežij. Imenik ima avtoriteto, ki ji zaupajo drugi stroji, zato Microsoftove smernice za utrjevanje obravnavajo vlogo krmilnika domene in njegovo gostiteljsko okolje kot posebej občutljive. Vsaka storitev, dodana temu gostitelju, podeduje položaj zaupanja imenika in doda lastno napadalno površino. Priročnost namestitve ni meja zaupanja.

Ločevanje vlog ne odpravi odvisnosti. Oddaljeni uporabniki še vedno potrebujejo preverjanje pristnosti, poti, DNS in pravila dostopa, prehod, ki jih preskoči, pa ni varnejši, le manj uporaben.

Preverjanje pristnosti brez vloge imenika

Prehod lahko preverja poverilnice prek podprte zunanje integracije, ne da bi gostil imenik sam. Kakršna koli je ta integracija, ji dajte račun, katerega pravice ustrezajo namenu: branje atributov, potrebnih za preverjanje pristnosti, nič več. Sprejemanje uporabnikov VPN nikoli ne zahteva, da njihovi običajni računi postanejo skrbniki domene, in nikoli ne zahteva, da prehod hrani kopijo imenika.

Nato omejite omrežne poti, ki jih oddaljeni odjemalec resnično potrebuje. Dostop do ene notranje datotečne storitve ter storitve razreševanja imen in identitete, od katerih je odvisen ta delovni tok, je določen nabor poti. To ni razlog, da bi iz bazena VPN dovolili vsaka vrata krmilnika domene ali vsak skrbniški vmesnik.

En gostitelj je še vedno ena domena odpovedi

Dva gosta na enem hipervizorju ločita konfiguracijo operacijskih sistemov in ne ločita svoje usode. Skrbniki hipervizorja, virtualno preklapljanje, shramba in varnostne kopije ostajajo del zasnove, ponovni zagon gostitelja pa odstrani obe storitvi hkrati. To imenovati visoka razpoložljivost, ker diagram prikazuje dva VM, je pogosta in draga napaka. Če edina pot nazaj vodi skozi VPN na tem gostitelju, odpoved odnese povezavo, potrebno za njegovo popravilo.

Zato načrtujte neodvisno pot upravljanja, ki ni odvisna od tunela, in zapišite, kaj ostane na voljo med vzdrževanjem. Posodobitve prehoda in vzdrževanje imenika načrtujte ločeno, pri čemer zabeležite, katere uporabnike ali aplikacije zadeva vsaka prekinitev.

Vzdrževalno okno, ki zahteva delujoč VPN, da bi popravili VPN, ni vzdrževalno okno.

Premaknite ga, ne da bi se zaklenili zunaj

Če si vloge že delijo eno namestitev, se izognite nagli oddaljeni selitvi. Popišite, kaj ima prehod danes: naslove, pravila posredovanja, NAT, nastavitve DNS, konfiguracijo preverjanja pristnosti in vse objavljene storitve. Pripravite zamenjavo in pot nazaj, preden premaknete poslušalca ali spremenite privzeto pot. Nato preizkusite resnično delo običajnega oddaljenega uporabnika skozi novo mejo in potrdite, da nepotreben skrbniški dostop še vedno ne uspe.

Cilj ni lepši diagram. To je sposobnost popraviti ali znova zgraditi VPN, ne da bi se dotaknili škatle, ki sidra zaupanje imenika za vso pisarno. To so različni cilji in le eden od njih potrebuje drugi strežnik.

Odločitev zapišite v vsakem primeru, vključno s pogoji, ki bi jo znova odprli. Majhna pisarna raste in odgovor, ki je ustrezal enemu strežniku, morda ne bo ustrezal naslednjemu.