VPN за малу канцеларију: држите га даље од контролера домена

Три услова одлучују да ли једини Windows сервер канцеларије треба да завршава и VPN: колико софтвера окренутог интернету сте спремни да извршавате на директоријуму, да ли можете да аутентификујете удаљене кориснике без те улоге, и шта се дешава са вашим административним приступом када се домаћин поново покрене. Ако било који од три има лош одговор, раздвојите улоге. То што је канцеларија мала мења буџет, не ризик.

Свака машина у домену верује контролеру домена; VPN пролаз је доступан свима на интернету. Та асиметрија је цео аргумент.

Два посла са два различита профила изложености

Пролаз прихвата везе споља, па су његов слушалац, TLS стек и површина за аутентификацију сви доступни из неповерљивих мрежа. Директоријум држи ауторитет коме верују друге машине, зато смернице Microsoft-а за очвршћивање третирају улогу контролера домена и његово окружење хостовања као посебно осетљиве. Свака услуга додата том домаћину наслеђује положај поверења директоријума и додаје сопствену површину напада. Погодност инсталације није граница поверења.

Раздвајање улога не уклања зависности. Удаљеним корисницима и даље требају аутентификација, руте, DNS и правила приступа, а пролаз који их прескаче није безбеднији, само мање користан.

Аутентификација без улоге директоријума

Пролаз може да проверава акредитиве кроз подржану спољну интеграцију без хостовања самог директоријума. Каква год да је та интеграција, дајте јој налог чија права одговарају циљу: читање атрибута потребних за аутентификацију, ништа више. Прихватање VPN корисника никада не захтева да њихови обични налози постану администратори домена и никада не захтева да пролаз држи копију директоријума.

Затим ограничите мрежне путеве који удаљеном клијенту заиста требају. Приступ једној интерној датотечној услузи, плус услуге разрешавања имена и идентитета од којих тај ток рада зависи, дефинисан је скуп путева. То није разлог да дозволите сваки порт контролера домена или сваки административни интерфејс из VPN базена.

Један домаћин је и даље један домен отказа

Два госта на једном хипервизору раздвајају конфигурацију својих оперативних система, а не раздвајају своју судбину. Администратори хипервизора, виртуелно преклапање, складиштење и резервне копије остају део дизајна, а поновно покретање домаћина уклања обе услуге одједном. Називати то високом доступношћу зато што дијаграм приказује две VM честа је и скупа грешка. Ако једини пут назад води кроз VPN на том домаћину, отказ одузима везу потребну за његову поправку.

Зато планирајте независну путању управљања која не зависи од тунела, и запишите шта остаје доступно током одржавања. Планирајте ажурирања пролаза и одржавање директоријума одвојено, бележећи које кориснике или апликације сваки прекид дотиче.

Прозор за одржавање који захтева да VPN буде активан да би се поправио VPN није прозор за одржавање.

Преместите га без закључавања напољу

Ако улоге већ деле једну инсталацију, избегните журну удаљену миграцију. Пописшите шта пролаз данас поседује: адресе, правила прослеђивања, NAT, DNS поставке, конфигурацију аутентификације и све објављене услуге. Припремите и замену и пут назад пре него што преместите слушаоца или промените подразумевану руту. Затим тестирајте стварни рад обичног удаљеног корисника кроз нову границу и потврдите да непотребан административни приступ и даље не пролази.

Циљ није лепши дијаграм. То је способност поправке или поновне изградње VPN-а без дирања кутије која усидрује поверење директоријума за целу канцеларију. То су различити циљеви и само једном од њих треба други сервер.

Забележите одлуку у сваком случају, укључујући услове који би је поново отворили. Мала канцеларија расте, а одговор који је одговарао једном серверу можда неће одговарати следећем.