Arbets-VPN i Saudiarabien: tre frågor innan du begär åtkomst

En avvisad andra inloggning eller ett blockerat internt program pekar sällan på en trasig tunnel. Arbets-VPN:er genomdriver tre separata saker: vad kontot får nå, hur många sessioner det får hålla och vilka interna tjänster som är publicerade för fjärranvändare. Ställ de tre frågorna i ordning, eftersom var och en har en annan ägare. Ett publicerat ramverk som NCA:s vägledning för införande av distansarbete är ett användbart ramverk för samtalet, inte en dom över någons rättsliga ställning.

Först: vad får det här kontot nå?

Åtkomsträttigheter definieras av systemkänslighet, åtkomstnivå och tillåten enhetstyp, och det är organisatoriska beslut, inte egenskaper hos tunneln. Att ha lösenordet besvarar bara om anslutningen får upprättas. Det säger inte om kontot får öppna ett dokument, administrera en server eller ändra en styrenhet. Be om den avsedda resursen och operationen, inte om åtkomst till nätverket som helhet.

En begäran formulerad som en destination är lättare att godkänna än en formulerad som en känsla. Därför handlar den första frågan om resursen, inte om nätverket.

NCA 2-2-1-1 knyter åtkomsträttigheter exakt till dessa tre dimensioner, därför måste svaret namnge ett system och en operation. Samma logik finns i vägledning för nolltillit: plats i nätverket är inte auktorisering. En användare på företagets VPN och en användare på en hemanslutning kan båda autentiseras, och programmet avgör ändå vad var och en får göra.

Sedan: hur många sessioner får köra samtidigt?

Samtidig fjärråtkomst är en separat kontroll, och NCA 2-2-1-2 täcker den tillsammans med en godkännandeväg för undantag. Organisationer begränsar den ofta, ibland till en aktiv session per konto. Gränsen är en policy-siffra som operatören sätter, inte en protokollkonstant, så ingen utanför organisationen kan säga värdet till dig. En inaktuell session som ingen kan stänga är ett driftproblem som är värt att rapportera i sig.

Om en andra bärbar dator avvisas är den första sessionen den vanliga förklaringen. Fråga hur operatören identifierar sessioner och hur inaktuella stängs; vissa system låter en inaktiv session löpa ut, andra behåller den tills den avslutas uttryckligen. Installera inte om klienten, byt inte profil och ändra inte utgångar innan det svaret kommer.

Tredje: vilka interna tjänster är publicerade?

Fjärråtkomst publicerar normalt en definierad uppsättning tjänster, protokoll och portar, och NCA 2-4-1-1 håller den uppsättningen till det distansarbete faktiskt behöver. Listan är mindre än det privata nätverket, och det är avsiktligt. Fråga vilken tjänst och port du behöver i stället för att begära bred nåbarhet, eftersom en bred begäran är svårare att motivera och mycket svårare att granska senare.

Supportbegäran bör innehålla kontots roll, den godkända enheten, måltjänsten, tidpunkten för felet och den icke-hemliga feltexten. Skicka den via organisationens kanal, inte till den som svarar först i en gruppchatt. Det räcker för ägaren att kontrollera policy och loggar. Lösenord, återställningskoder och privata nycklar hör inte hemma där.

Vad du ska göra när svaret är nej

Ett avslag är ofta en omfattningsmissmatchning, inte en säkerhetsdom. Tjänsten är kanske bara publicerad för kontorsadresser, eller rollen saknar kanske operationen trots att tunneln fungerar. Fråga vilken av de tre frågorna som misslyckades, och lösningen blir oftast uppenbar. Om ett undantag behövs, be ägaren registrera det i stället för att gå runt det.

Låna inte en kollegas session, stäng inte av en klientkontroll och routa inte trafik genom en icke godkänd utgång för att få ett test att gå igenom. Var och en av dessa ersätter ett granskningsbart avslag med en framgång ingen kan granska, och nästa genomgång kommer att hitta skillnaden. Det godkända undantaget är långsammare och överlever en revision.

Frågorna du tar med till ägaren

Skriv ned dem före samtalet: vilka resurser och operationer kontot är godkänt för, vad policyn för samtidiga sessioner är och hur inaktuella sessioner rensas, och vilka interna tjänster och portar som är publicerade för fjärranvändare. Be ägaren bekräfta aktuell tillämplighet, eftersom vägledningar revideras och intern policy kan vara strängare än den publicerade baslinjen. Lägg till enhetskravet om organisationen har ett.

Ett ramverk för kontroller hjälper dig att ställa precisa frågor. Det tillåter inte en aktivitet, och det ersätter inte operatörens svar.

Ta tillbaka svaren till samma ägare när nästa ändring föreslås. Det är det som gör ett engångsgodkännande till en policy som någon upprätthåller.