Föreslå en fjärråtkomstapparat som nätverkets ägare kan godkänna

En fjärråtkomstapparat ändrar kundens nätverksgräns även när den ringer ut och inte behöver någon inkommande portvidarebefordran. Det är riktningen utåt som gör den lätt att installera och som gör den lätt att förbise. Lägg fram den som en begäran om åtkomstdesign innan den går ut i nätet. Att lägga fram den som något du inte behövde nämna är hur en teknisk framgång blir ett avtalsproblem.

Utgå från att nätverkets ägare ställer fyra frågor: vad, vem, hur långt och hur gör vi det ogjort.

Be om resursen, inte om subnätet

Beskriv arbetet med de termer ägaren använder: vilken person som behöver vilken tjänst, på vilken enhet och hur länge. En begäran som är begränsad till en applikation på en värd är lätt att godkänna. En begäran om ett subnät är en begäran att organisera om någon annans segmentering.

Kunden kör kanske redan ett godkänt VPN, en gateway för fjärrskrivbord eller en hanterad supportkanal som täcker behovet. Kontrollera det först, eftersom återanvändning av en befintlig väg oftast är det billigaste svaret för båda parter. Om det inte passar, säg exakt varför. Den jämförelsen är den starkaste delen av förslaget.

Om en apparat verkligen behövs, ta med dess ägare, programvarukällan, uppdateringsprocessen och den avsedda installationspunkten.

Visa anslutningen och var förtroendet slutar

Rita apparaten, fjärranvändaren, eventuella mäklare eller reläer och den skyddade resursen. Markera var krypteringen slutar och vem som administrerar varje ändpunkt. En session utåt inför ändå en ny styrväg, och det är i diagrammet det blir synligt. Att säga att trafiken är krypterad besvarar en sekretessfråga och ingen behörighetsfråga.

Ange läget uttryckligen: paketvidarebefordran, applikationsproxy eller ett exponerat skrivbord. Varje läge har olika konsekvenser för routing och värdsäkerhet, och varje läge misslyckas olika när apparaten komprometteras.

Håll orelaterade kundnätverk och apparatens eget administrationsgränssnitt utanför det godkända omfånget.

Skilj användaridentitet från enhetsidentitet

Användarregistrering, enhetsidentitet, flerfaktorautentisering och inloggning i applikationen är fyra olika kontroller, och förslaget bör namnge var och en. Delade inloggningsuppgifter är den vanliga genvägen, och de lämnar ägaren oförmögen att återkalla en person utan att störa alla. Inloggningen bör stanna hos applikationen. Apparaten autentiserar en anslutning; tjänsten avgör vad den anslutningen får göra.

NIST:s nolltillitsarkitektur är användbar här eftersom den behandlar resursåtkomst som ett uttryckligt beslut snarare än en följd av nätverksplacering.

Kom överens om återställning och borttagning före installationen

Ägaren ska kunna stänga av åtkomsten snabbt via en kontroll som ägaren själv hanterar, inte via ett samtal till dig. Skriv ned återkallande av inloggningsuppgifter, borttagning av apparaten, ansvar för uppdateringar och ett utgångs- eller granskningsdatum. Bevara en lokal återställningsväg som inte är beroende av den nya fjärrkanalen. En apparat som ingen kan ta bort utan leverantören är ett permanent beroende förklätt till bekvämlighet.

Håll dokumentationen proportionerlig: godkända identiteter, åtkomstomfång, betydande ändringar och relevanta fel.

Att samla in orelaterad webbhistorik för att visa att apparaten finns är inte bevis på god drift, och det skapar en skyldighet som ägaren aldrig bad om.

Hur ett lyckat godkännande ser ut

Acceptera designen tillsammans med ägaren med en tillåten tjänst och en resurs som måste förbli nekad. Den andra halvan är den del folk hoppar över, och det är den enda delen som bevisar att gränsen ligger där diagrammet säger. Testa återkallandet på samma sätt, innan apparaten bär riktigt arbete. Om godkännandet hålls inne, använd kundens sanktionerade alternativ eller gör arbetet lokalt.

En fungerande anslutning är inte tillstånd att skapa åtkomstvägen.

Skriv ned godkännandet med dess omfång och utgångsdatum, och lämna en kopia till ägaren. Nästa person som rör vid det nätverket kommer att läsa protokollet, inte ditt minne av samtalet.