VPN për një zyrë të vogël: mbajeni larg kontrolluesit të domenit

Tre kushte përcaktojnë nëse serveri i vetëm Windows i zyrës duhet të përfundojë edhe VPN-në: sa softuer i kthyer nga interneti jeni të gatshëm të ekzekutoni në drejtori, nëse mund të vërtetoni përdorues në distancë pa atë rol, dhe çfarë ndodh me aksesin tuaj administrativ kur hosti riniset. Nëse ndonjëri prej të treve ka përgjigje të keqe, ndani rolet. Fakti që zyra është e vogël ndryshon buxhetin, jo rrezikun.

Çdo makinë në domain i beson një kontrolluesi domeni; një gateway VPN është i arritshëm nga kushdo në internet. Kjo asimetri është i gjithë argumenti.

Dy punë me dy profile ekspozimi të ndryshme

Gateway-i pranon lidhje nga jashtë, kështu që dëgjuesi, stiva TLS dhe sipërfaqja e vërtetimit janë të gjitha të arritshme nga rrjete jo të besueshme. Drejtoria mban një autoritet që makinat e tjera besojnë, prandaj udhëzimet e forcimit të Microsoft e trajtojnë rolin e kontrolluesit të domenit dhe mjedisin e tij të strehimit si veçanërisht të ndjeshëm. Çdo shërbim i shtuar në atë host trashëgon pozicionin e besimit të drejtorisë ndërsa shton sipërfaqen e vet të sulmit. Lehtësia e instalimit nuk është kufi besimi.

Ndarja e roleve nuk i heq varësitë. Përdoruesit në distancë ende kanë nevojë për vërtetim, rrugë, DNS dhe rregulla aksesi, dhe një gateway që i anashkalon ato nuk është më i sigurt, thjesht më pak i dobishëm.

Vërtetim pa rolin e drejtorisë

Një gateway mund të vlerësojë kredencialet përmes një integrimi të jashtëm të mbështetur pa strehuar vetë drejtorinë. Çfarëdo qoftë ai integrim, jepini një llogari të drejtat e së cilës përputhen me qëllimin: leximi i atributeve të nevojshme për vërtetim, asgjë më shumë. Pranimi i përdoruesve të VPN nuk kërkon kurrë t'i bësh llogaritë e tyre të zakonshme administratorë domeni, dhe nuk kërkon kurrë që gateway-i të mbajë një kopje të drejtorisë.

Pastaj kufizoni shtigjet e rrjetit që klienti në distancë ka vërtet nevojë. Aksesi në një shërbim të brendshëm skedarësh, plus shërbimet e zgjidhjes së emrave dhe identitetit nga të cilat varet ai rrjedhë pune, është një grup i përcaktuar shtigjesh. Nuk është arsye për të lejuar çdo port të kontrolluesit të domenit ose çdo ndërfaqe administrative nga grupi VPN.

Një host mbetet një domen dështimi

Dy të ftuar në një hipervizor ndajnë konfigurimin e sistemit të tyre operativ dhe nuk ndajnë fatin e tyre. Administratorët e hipervizorit, komutimi virtual, ruajtja dhe kopjet rezervë mbeten pjesë e dizajnit, dhe një rinisje e hostit i heq të dy shërbimet njëherësh. Ta quash atë disponueshmëri të lartë sepse diagrami tregon dy VM është një gabim i zakonshëm dhe i kushtueshëm. Nëse e vetmja rrugë kthimi kalon përmes VPN-së në atë host, një dështim merr lidhjen e nevojshme për ta riparuar atë.

Prandaj planifikoni një rrugë menaxhimi të pavarur që nuk varet nga tuneli, dhe shkruani çfarë mbetet e disponueshme gjatë mirëmbajtjes. Planifikoni veçmas përditësimet e gateway-it dhe mirëmbajtjen e drejtorisë, duke shënuar cilët përdorues ose aplikacione prek çdo ndërprerje.

Një dritare mirëmbajtjeje që kërkon që VPN-i të jetë aktiv për të riparuar VPN-në nuk është dritare mirëmbajtjeje.

Zhvendoseni pa u mbyllur jashtë

Nëse rolet tashmë ndajnë një instalim, shmangni një migrim të nxituar në distancë. Inventarizoni çfarë zotëron gateway-i sot: adresa, rregulla përcjelljeje, NAT, cilësime DNS, konfigurim vërtetimi dhe çdo shërbim të botuar. Përgatitni si zëvendësimin ashtu edhe një rrugë kthimi përpara se të zhvendosni dëgjuesin ose të ndryshoni një rrugë të paracaktuar. Më pas provoni punën reale të një përdoruesi të zakonshëm në distancë përmes kufirit të ri, dhe konfirmoni që aksesi administrativ i panevojshëm vazhdon të dështojë.

Qëllimi nuk është një diagram më i bukur. Është aftësia për të riparuar ose rindërtuar VPN-në pa prekur kutinë që ankoron besimin e drejtorisë për të gjithë zyrën. Këto janë objektiva të ndryshëm, dhe vetëm njëri prej tyre ka nevojë për një server të dytë.

Regjistroni vendimin sido që të jetë, duke përfshirë kushtet që do ta rihapnin. Një zyrë e vogël rritet, dhe përgjigjja që i përshtatej një serveri mund të mos i përshtatet atij tjetrit.