Laptop pune në një VPN personal: çfarë kalon në të vërtetë

Lidhja e një laptopi të kompanisë me një VPN shtëpiake e vendos atë në dy vende njëkohësisht, dhe pyetja interesante është më e vogël dhe më e dobishme se ajo alarmante. Askush nuk shtriu një kabllo Ethernet mes zyrës dhe shtëpisë, dhe asnjë rrugë nuk e bën rrjetin shtëpiak zgjatim të nënrrjetit korporativ. Ajo që ekziston është një pikë e vetme fundore me akses në të dy mjediset, dhe tre mekanizma të ndarë vendosin çfarë mund të lëvizë vërtet mes tyre. Kalimi nëpër këto të tre, nga pika fundore e nga jashtë, jep një përgjigje mbi të cilën një administrator mund të veprojë në vend të një debati rreth etiketave.

Filloni nga pika fundore, jo nga diagrami i rrjetit

Pika fundore është vendi ku takohen të dyja lidhjet, prandaj aty fillon shqyrtimi: cilat procese punojnë, çfarë mund të arrijnë dhe kush i kontrollon ato. Një diagram që tregon dy re të lidhura me një laptop është i saktë dhe i padobishëm, sepse nënkupton një lidhje që mund të mos ekzistojë. Zëvendësojeni me një listë të aplikacioneve që mund të flasin me çdo mjedis, dhe shënoni nën cilin llogari punon secili. Ky kornizë e mban shqyrtimin edhe proporcionale, sepse një laptop me dy tunele nuk është i njëjti objekt si dy rrjete të bashkuara.

Ajo listë është inventari nga i cili punon pjesa tjetër e shqyrtimit. Nëse përmban një klient sinkronizimi, një profil shfletuesi të identifikuar në të dy mjediset dhe një agjent ndërtimi me kredenciale, shqyrtimi tashmë i ka subjektet e tij.

Tri pika kalimi, të shqyrtuara veçmas

Aksesi i aplikacioneve është pika e parë e kalimit dhe nuk kërkon asnjë përcjellje. Një skedë shfletuesi, një klient sinkronizimi ose një agjent ndërtimi në pikën fundore mund të lexojnë nga një burim në një mjedis dhe të dërgojnë të dhëna në një burim në tjetrin. Kjo aftësi ekziston pavarësisht nëse sistemi operativ përcjell paketa mes ndërfaqeve, dhe pikërisht ky është mekanizmi që njerëzit anashkalojnë kur arrijnë në përfundimin se pa urë nuk ka rrezik. Prandaj leximi i listës së aplikacioneve është më informativ se leximi i listës së ndërfaqeve.

Identiteti dhe të dhënat formojnë pikën e dytë të kalimit. Kredencialet korporative, cookie-t e sesionit, dokumentet e shkarkuara dhe të drejtat e administrimit jetojnë në pikën fundore, dhe bashkimi me një rrjet tjetër nuk i zbulon ato në vetvete. Ajo që ndryshon është grupi i palëve që mund të ndikojnë në pikën fundore ndërsa ajo mban ato kredenciale, dhe kjo është një pyetje mbi besueshmërinë e rrjetit personal, jo mbi rrugëzimin. Është një gjykim që pronari i pikës fundore nuk mund ta marrë vetëm, dhe nuk i përgjigjet mungesa e një rregulli përcjelljeje.

Përcjellja e rrjetit është e treta, dhe e vetmja që mund ta kthejë laptopin në një pajisje tranziti. Përcjellja IP, ndarja e lidhjes së internetit, një proxy ose një funksion ure mund ta bëjnë këtë, dhe secila është një konfigurim që ose është aktivizuar ose jo. Inspektoni atë gjendje drejtpërdrejt në vend që ta nxirrni nga prania e një klienti VPN. Në një makinë të administruar përgjigjja zakonisht është jo, dhe verifikimi i saj e kthen një supozim në fakt që ia vlen të regjistrohet.

Kërkoni një burim, jo dy rrjete

Shumica e kërkesave reale janë më të ngushta se sa duken në fillim: një konsolë, një ndarje skedarësh, një aplikacion web i brendshëm. Formulojeni kërkesën në atë mënyrë dhe lëreni pronarin e burimit të vendosë nëse i përket fare kësaj pike fundore. Një kërkesë e formuluar si bashkim i dy rrjeteve është e vështirë për t'u miratuar dhe e lehtë për t'u refuzuar; një kërkesë për një shërbim të emërtuar ka përgjigje.

Nëse përgjigjja është po, preferoni rrugën më të ngushtë të mbështetur dhe mbaheni brenda kontrolleve ekzistuese të organizatës. Një profil i dytë i administruar ose një hyrje aplikacioni me shtrirje të kufizuar ruajnë monitorimin dhe politikën; një konfigurim personal konkurrues i zëvendëson ato në heshtje, dhe askush nuk e di cili fiton pas përditësimit të radhës.

Përfshini efektet e DNS-së dhe të rrugëve

Zgjidhja e emrave ndryshon në momentin kur një profil i dytë është aktiv. Një klient personal mund të imponojë zgjidhësin e vet, një shfletues mund të përdorë DNS-në e vet të kriptuar, dhe një tabelë politike mund t'i drejtojë emrat e brendshëm në një server tjetër nga ai që pret konfigurimi korporativ. Asnjëra prej tyre nuk kërkon përcjellje, dhe cilado mund të dërgojë një emër hosti të brendshëm në vendin e gabuar.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Regjistroni ato tri dalje përpara dhe pasi lidhet profili i dytë. Dallimi mes tyre është efekti që arrin vërtet te përdoruesi, dhe shpesh është më i madh se ndryshimi i rrugëzimit të përshkruar në biletë. Ruajini të dyja regjistrimet që një shqyrtues i mëvonshëm të shohë çfarë ndryshoi dhe jo çfarë ishte synuar.

Verifikoni dhe mbani një rrugëdalje

Testojeni aplikacionin e miratuar nga procesi dhe konteksti real i përdoruesit, jo nga një shell administratori në të njëjtën makinë. Më pas konfirmoni se destinacionet e palidhura mbeten të paarritshme aty ku dizajni e kërkon: një kufi që askush nuk e ka testuar është një kufi që askush nuk mund ta pretendojë. Shkëputja e tunelit personal duhet të rivendosë gjendjen e mëparshme, dhe ajo rivendosje ia vlen të kontrollohet ndërsa dikush ende po shikon.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Udhëzimi i NIST për arkitekturën e besimit zero është i dobishëm këtu sepse heq vendndodhjen në rrjet si burim automatik besimi, dhe pikërisht ky është supozimi në fjalë. Pyetja nuk është nëse rrjeti shtëpiak është i besueshëm nga natyra; pyetja është kush mund të arrijë cilin burim, nga cila pikë fundore dhe përmes cilit pikë zbatimi. Përgjigjuni këtyre të treve, dhe mbani provat bashkë me vendimin.