Službeni prenosnik v osebnem VPN: kaj v resnici prehaja

Povezava službenega prenosnika z domačim VPN ga postavi na dve mesti hkrati, zanimivo vprašanje pa je manjše in bolj koristno od vznemirljivega. Nihče ni položil kabla Ethernet med pisarno in domom in nobena pot ne naredi domačega omrežja podaljška korporativnega podomrežja. Obstaja ena končna točka z dostopom do obeh okolij, trije ločeni mehanizmi pa odločajo, kaj se med njima lahko v resnici premika. Sprehod skozi te tri od končne točke navzven da odgovor, na katerega se lahko sklicuje skrbnik, namesto razprave o oznakah.

Začnite pri končni točki, ne pri omrežni shemi

Končna točka je mesto, kjer se srečata obe povezavi, zato se tam začne pregled: kateri procesi tečejo, do česa lahko pridejo in kdo jih nadzoruje. Shema z dvema oblakoma, povezanima s prenosnikom, je natančna in neuporabna, ker nakazuje povezavo, ki je morda ni. Nadomestite jo s seznamom aplikacij, ki se lahko pogovarjajo z vsakim okoljem, in zabeležite, pod katerim računom teče vsaka. Ta okvir ohranja pregled tudi sorazmeren, saj prenosnik z dvema tuneloma ni isti predmet kot dve povezani omrežji.

Ta seznam je popis, iz katerega dela preostanek pregleda. Če vsebuje odjemalca za sinhronizacijo, profil brskalnika, prijavljen v obeh okoljih, in agenta za izgradnjo s poverilnicami, ima pregled že svoje predmete.

Tri točke prehoda, pregledane vsaka zase

Dostop aplikacij je prva točka prehoda in ne zahteva nobenega posredovanja. Zavihek brskalnika, odjemalec za sinhronizacijo ali agent za izgradnjo na končni točki lahko bere iz vira v enem okolju in pošilja podatke v vir v drugem. Ta zmožnost obstaja ne glede na to, ali operacijski sistem posreduje pakete med vmesniki, in prav ta mehanizem ljudje spregledajo, ko sklenejo, da brez mostu ni tveganja. Branje seznama aplikacij je zato bolj poučno od branja seznama vmesnikov.

Identiteta in podatki tvorijo drugo točko prehoda. Korporativne poverilnice, piškotki seje, preneseni dokumenti in upravljavske pravice živijo na končni točki in pridružitev drugemu omrežju jih sama po sebi ne razkrije. Spremeni se množica strani, ki bi lahko vplivale na končno točko, dokler ta hrani te poverilnice, to pa je vprašanje zanesljivosti osebnega omrežja in ne usmerjanja. To je presoja, ki je lastnik končne točke ne more sprejeti sam, in nanjo ne odgovarja odsotnost pravila posredovanja.

Omrežno posredovanje je tretje in edino, ki lahko prenosnik spremeni v tranzitno napravo. Posredovanje IP, skupna raba internetne povezave, posrednik ali funkcija mostu lahko to storijo, in vsaka od tega je nastavitev, ki je bodisi omogočena bodisi ne. Preverite to stanje neposredno, namesto da bi ga sklepali iz prisotnosti odjemalca VPN. Na upravljanem računalniku je odgovor običajno ne in njegovo preverjanje spremeni domnevo v dejstvo, ki ga velja zapisati.

Zahtevajte en vir, ne dveh omrežij

Večina resničnih zahtev je ožjih, kot se zdi na prvi pogled: ena konzola, ena skupna mapa, ena notranja spletna aplikacija. Zahtevo formulirajte tako in prepustite lastniku vira presojo, ali sploh sodi na to končno točko. Zahteva, oblikovana kot združitev dveh omrežij, je težko odobriti in lahko zavrniti; zahteva za eno imenovano storitev ima odgovor.

Če je odgovor da, izberite najožjo podprto pot in jo zadržite znotraj obstoječih kontrol organizacije. Upravljani drugi profil ali aplikacijski vnos z omejenim obsegom ohranja spremljanje in politiko; konkurenčna osebna konfiguracija ju tiho nadomesti in nihče ne ve, katera zmaga po naslednji posodobitvi.

Vključite učinke DNS in poti

Razreševanje imen se spremeni v trenutku, ko je aktiven drugi profil. Osebni odjemalec lahko vsili svoj razreševalnik, brskalnik lahko uporabi svoj šifrirani DNS, tabela pravil pa lahko usmeri notranja imena na drug strežnik, kot ga pričakuje korporativna konfiguracija. Nič od tega ne zahteva posredovanja in karkoli od tega lahko pošlje notranje ime gostitelja na napačno mesto.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Zajemite te tri izhode pred povezavo drugega profila in po njej. Razlika med njimi je učinek, ki v resnici doseže uporabnika, in je pogosto večja od spremembe usmerjanja, ki jo opisuje zahtevek. Shranite oba zajema, da bo poznejši pregledovalec videl, kaj se je spremenilo, in ne, kaj je bilo mišljeno.

Preverite in ohranite izhod

Preizkusite odobreno aplikacijo iz resničnega procesa in uporabniškega konteksta, ne iz skrbniške lupine na istem računalniku. Nato potrdite, da nepovezane destinacije ostanejo nedosegljive tam, kjer to zahteva zasnova: meja, ki je nihče ni preizkusil, je meja, na katero se nihče ne more sklicevati. Odklop osebnega tunela bi moral obnoviti prejšnje stanje in to obnovitev velja preveriti, dokler nekdo še gleda.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Smernice NIST o arhitekturi ničelnega zaupanja so tu koristne, ker odstranijo omrežno lokacijo kot samodejni vir zaupanja, in to je natanko tista domneva, o kateri teče spor. Vprašanje ni, ali je domače omrežje po svoji naravi zanesljivo; vprašanje je, kdo lahko doseže kateri vir, s katere končne točke in skozi katero točko uveljavljanja. Odgovorite na te tri in hranite dokaze skupaj z odločitvijo.