Aksesi VPN i klientëve: jepini punës së privilegjuar pajisjen e vet

Profili i lidhjes thotë Production, tuneli ngrihet dhe çdo dritare në desktop tani mund të arrijë sistemet e klientit. Asgjë në atë sekuencë nuk e ndau sesionin e privilegjuar nga skeda e shfletuesit pranë saj. Një profil VPN është një emër plus një grup rrugësh; kufiri për të cilin ju intereson vërtet ndërtohet nga identiteti i pajisjes, një mjedis ekzekutimi i kontrolluar dhe një rrugë për kredencialet. Këto të tre zbatohen në vende të ndryshme, prandaj shtimi i njërit dhe anashkalimi i të tjerëve prodhon një dizajn që duket në përputhje dhe nuk është.

Emri i profilit nuk është kufi

Klienti zbaton rrugët dhe konfigurimin DNS kur tuneli ngrihet, dhe çdo gjë që ekzekutohet më pas në atë makinë trashëgon të dyja.

Një emër në një listë zbritëse ndryshon atë që njeh një operator, jo atë që lejon sistemi operativ.

Identiteti i pajisjes është ajo që porta mund të kontrollojë

Një portë që mbështet certifikata pajisjesh ose kontrolle gjendjeje autentikon makinën po aq sa personin. Ai është shtresa që mund të refuzojë një lidhje nga një laptop i pamenaxhuar përpara se dikush të shkruajë një fjalëkalim. Ju jep gjithashtu diçka konkrete për të revokuar kur një pajisje humbet. Kopjimi i një certifikate në tre makina heq pikërisht atë veti, prandaj cikli i jetës së certifikatës i përket marrëveshjes dhe jo një dosjeje të përbashkët.

Klienti vendos se cilat nga këto kontrolle kërkon politika e tij, dhe një makinë virtuale e ndërtuar nga një furnizues mund të mos përmbushë fare një kontroll gjendjeje.

Ku rrjedh kufiri i një makine virtuale

Një makinë virtuale mban bashkë mjetet e klientit dhe gjendjen e rrjetit, dhe kjo është vërtet e dobishme. Megjithatë varet nga pritësi i saj dhe nga hipervizori, dhe disa lehtësi e kalojnë vijën: dosje të përbashkëta, integrimi i clipboard-it, agjentë kredencialesh dhe akses administrimi në nivel pritësi. Një mysafir i privilegjuar në një pritës të përdorimit të përditshëm nuk është i besueshëm në mënyrë të pavarur, sepse pritësi mund të vëzhgojë çfarë bën mysafiri. Trajtojeni makinën virtuale si një kontroll që ul ekspozimin, jo si një domen sigurie të veçantë.

Një pajisje fizike e dedikuar heq varësinë nga pritësi dhe shton në vend të saj një detyrim mirëmbajtjeje.

Kredencialet dhe rrugët e transferimit

Përdorni identitete individuale dhe të revokueshme për çdo inxhinier dhe çdo klient, dhe mbajini larg profileve personale të shfletuesit dhe historikut të bisedave. Kredencialet e ndara nga një ekip i tërë nuk mund të atribuohen, rrotullohen ose revokohen në mënyrë të pastër. Vendosni rrugën e transferimit për mjetet, skedarët dhe daljen diagnostike përpara sesionit të parë, sepse lëvizja e rastësishme e skedarëve është mënyra se si një kufi heshtazi pushon së qeni kufi. Nëse duhet arritur dy klientë njëkohësisht, merrni fillimisht miratimin për ndarjen e rrjetit dhe identitetit.

Asnjëherë mos ura lidh dy rrjete klientësh përmes një stacioni pune vetëm sepse ishte i përshtatshëm atë pasdite.

Marrëveshja që e bën të përsëritshme

Shkruani një shënim të shkurtër për çdo klient dhe mbajeni atje ku të dyja palët mund ta gjejnë. Duhet të përmendë pajisjen ose mjedisin në distancë të miratuar dhe kush e mirëmban, identitetet e lejuara, sistemet dhe operacionet që mund të arrijnë, rrugën e transferimit dhe mënyrën normale se si përfundon një sesion.

Pesë rreshta që dikush i shqyrton kur një person vjen ose ikën mundin një politikë që askush nuk mund ta zbatojë:

• Pajisje ose mjedis në distancë i miratuar, me një pronar mirëmbajtjeje të emërtuar.
• Identitetet individuale të përdoruesit dhe të pajisjes të lejuara për mbështetje.
• Sistemet dhe operacionet që ato identitete mund të arrijnë.
• Rruga e lejuar për mjetet, skedarët dhe daljen diagnostike.
• Procesi i përfundimit të sesionit dhe një alternativë emergjence e autorizuar.

Akses emergjence pa lëvizur kredencialet

Kur një kontroll bllokon një riparim urgjent, rruga është procesi i përjashtimit, jo një laptop i dytë që mban të njëjtat kredenciale. Një përjashtim i miratuar regjistron kush e autorizoi, çfarë u lehtësua dhe kur përfundon. Lëvizja e një kredenciali në një makinë të përdorimit të përditshëm ndryshon kufirin në momentin më të keq të mundshëm, dhe zakonisht mbetet i ndryshuar edhe pas. Rruga e emergjencës meriton një provë ndërsa asgjë nuk është prishur.

Pastaj përfundoni sesionin siç thotë marrëveshja, dhe konfirmoni se aksesi vërtet u ndal.