Радни лаптоп на личном VPN-у: шта заправо прелази

Повезивање службеног лаптопа на кућни VPN ставља га на два места истовремено, а занимљиво питање је мање и корисније од алармантног. Нико није провукао Ethernet кабл између канцеларије и куће и ниједна рута не чини кућну мрежу продужетком корпоративне подмреже. Постоји једна крајња тачка са приступом обема срединама, а три одвојена механизма одлучују шта заиста може да се креће између њих. Пролазак кроз те три, од крајње тачке ка споља, даје одговор на који администратор може да поступи уместо расправе о ознакама.

Почните од крајње тачке, а не од мрежне шеме

Крајња тачка је место где се оба прикључка сусрећу, па ту почиње преглед: који процеси раде, докле могу да стигну и ко њима управља. Шема која приказује два облака повезана са лаптопом је тачна и бескорисна, јер указује на везу које можда нема. Замените је списком апликација које могу да разговарају са сваком средином и забележите под којим налогом ради која. Такав оквир држи преглед и сразмерним, пошто лаптоп са два тунела није исти објекат као две повезане мреже.

Тај списак је попис од кога ради остатак прегледа. Ако садржи клијента за синхронизацију, профил прегледача пријављен у обе средине и агента за изградњу са акредитивима, преглед већ има своје предмете.

Три тачке преласка, прегледане одвојено

Приступ апликација је прва тачка преласка и не захтева никакво прослеђивање. Картица прегледача, клијент за синхронизацију или агент за изградњу на крајњој тачки могу да читају из ресурса у једној средини и шаљу податке у ресурс у другој. Та способност постоји без обзира на то да ли оперативни систем прослеђује пакете између интерфејса, и то је механизам који људи превиде када закључе да нема моста значи нема ризика. Зато читање списка апликација даје више од читања списка интерфејса.

Идентитет и подаци чине другу тачку преласка. Корпоративни акредитиви, колачићи сесије, преузети документи и права управљања живе на крајњој тачки, а придруживање другој мрежи их само по себи не открива. Мења се скуп страна које би могле да утичу на крајњу тачку док она чува те акредитиве, а то је питање поузданости личне мреже, не рутирања. То је процена коју власник крајње тачке не може сам да донесе, и на њу не одговара одсуство правила прослеђивања.

Мрежно прослеђивање је треће и једино које лаптоп може да претвори у транзитни уређај. Прослеђивање IP-а, дељење интернет везе, прокси или функција премоснице могу то да учине, а свако је подешавање које је или укључено или није. Проверите то стање непосредно уместо да га изводите из присуства VPN клијента. На управљаној машини одговор је обично не, а провера га претвара у чињеницу коју вреди записати.

Тражите један ресурс, а не две мреже

Већина стварних захтева је ужа него што изгледа на први поглед: једна конзола, једно дељење датотека, једна интерна веб апликација. Формулишите захтев тако и препустите власнику ресурса да одлучи да ли уопште припада овој крајњој тачки. Захтев састављен као спајање две мреже тешко је одобрити и лако одбити; захтев за једном именованом услугом има одговор.

Ако је одговор да, изаберите најужи подржани пут и задржите га унутар постојећих контрола организације. Управљани други профил или унос апликације ограниченог обима чувају надзор и политику; конкурентна лична конфигурација их тихо замењује и нико не зна која побеђује после следећег ажурирања.

Укључите ефекте DNS-а и рута

Разрешавање имена мења се истог тренутка када други профил постане активан. Лични клијент може да наметне свој разрешивач, прегледач може да користи сопствени шифровани DNS, а табела политике може да усмери интерна имена на други сервер од оног који корпоративна конфигурација очекује. Ништа од тога не захтева прослеђивање, а било шта од тога може да пошаље интерно име хоста на погрешно место.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Забележите та три излаза пре и после повезивања другог профила. Разлика међу њима је ефекат који заиста стиже до корисника и често је већа од промене рутирања описане у тикету. Сачувајте оба снимка да би каснији прегледалац видео шта се променило, а не шта је била намера.

Проверите и задржите излаз

Тестирајте одобрену апликацију из стварног процеса и корисничког контекста, а не из администраторске љуске на истој машини. Затим потврдите да неповезана одредишта остају недоступна тамо где дизајн то захтева: граница коју нико није тестирао је граница на коју се нико не може позвати. Искључивање личног тунела требало би да врати претходно стање, а то враћање вреди проверити док још неко гледа.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST смернице о архитектури нултог поверења корисне су овде јер уклањају мрежну локацију као аутоматски извор поверења, а то је управо претпоставка о којој је реч. Питање није да ли је кућна мрежа по природи поуздана; питање је ко може да дође до ког ресурса, са које крајње тачке и кроз коју тачку спровођења. Одговорите на та три и чувајте доказе уз одлуку.