VPN приступ клијената: дајте привилегованом раду сопствени уређај

Профил везе каже Production, тунел се подиже и сваки прозор на радној површини сада може да дође до клијентових система. Ништа у том редоследу није одвојило привилеговану сесију од суседне картице прегледача. VPN профил је назив плус скуп рута; граница до које вам је заиста стало гради се од идентитета уређаја, контролисаног окружења за извршавање и пута за акредитиве. То троје се спроводи на различитим местима, зато додавање једног и прескакање осталих даје дизајн који изгледа усклађено, а није.

Назив профила није граница

Клијент примењује руте и DNS конфигурацију када се тунел подигне, а све што се после извршава на том рачунару наслеђује обоје.

Назив у падајућем менију мења шта оператер препознаје, а не шта оперативни систем дозвољава.

Идентитет уређаја је оно што мрежни пролаз може да провери

Пролаз који подржава сертификате уређаја или провере стања аутентификује и машину и особу. То је слој који може да одбије везу са неуправљаног преносног рачунара пре него што ико откуца лозинку. Даје вам и нешто конкретно за опозив када се уређај изгуби. Копирање једног сертификата на три машине уклања управо то својство, зато животни циклус сертификата припада споразуму, а не дељеној фасцикли.

Клијент одлучује које од тих контрола захтева његова политика, а виртуелна машина коју је изградио добављач можда уопште не задовољава проверу стања.

Где граница виртуелне машине пропушта

Виртуелна машина држи клијентске алате и стање мреже заједно и то је заиста корисно. Али зависи и од свог хоста и од хипервизора, а неколико погодности прелази границу: дељене фасцикле, интеграција међуспремника, агенти за акредитиве и административни приступ на нивоу хоста. Привилеговани гост на хосту који се свакодневно користи није независно поуздан, јер хост може да посматра шта гост ради. Третирајте виртуелну машину као контролу која смањује изложеност, не као одвојен безбедносни домен.

Наменски физички уређај уклања зависност од хоста и на њено место додаје обавезу одржавања.

Акредитиви и путеви преноса

Користите појединачне, опозиве идентитете за сваког инжењера и сваког клијента и држите их даље од личних профила прегледача и историје разговора. Акредитиви које дели цео тим не могу чисто да се припишу, ротирају ни опозову. Одредите пут преноса за алате, датотеке и дијагностички излаз пре прве сесије, јер је спонтано премештање датотека начин на који граница тихо престаје да буде граница. Ако морају истовремено да се достигну два клијента, прво прибавите одобрење за раздвајање мреже и идентитета.

Никада не повезујте две клијентске мреже кроз једну радну станицу само зато што је тог поподнева било згодно.

Споразум који ово чини поновљивим

Напишите кратак запис по клијенту и чувајте га где га обе стране могу наћи. У њему треба навести одобрени уређај или удаљено окружење и ко га одржава, дозвољене идентитете, системе и операције до којих могу да дођу, пут преноса и уобичајен начин на који се сесија завршава.

Пет редова које неко прегледа када особа дође или оде побеђују политику коју нико не може да примени:

• Одобрени уређај или удаљено окружење, са именованим власником одржавања.
• Појединачни кориснички и идентитети уређаја дозвољени за подршку.
• Системи и операције до којих ти идентитети могу да дођу.
• Дозвољени пут за алате, датотеке и дијагностички излаз.
• Процес завршетка сесије и овлашћена хитна алтернатива.

Хитни приступ без премештања акредитива

Када контрола блокира хитну поправку, пут је процес изузетка, а не други преносни рачунар са истим акредитивима. Одобрени изузетак бележи ко га је одобрио, шта је ублажено и када престаје. Премештање акредитива на свакодневни рачунар мења границу у најгорем могућем тренутку и обично после остане промењена. Хитна рута заслужује пробу док ништа није покварено.

Затим завршите сесију како споразум каже и потврдите да је приступ заиста престао.