Arbetslaptop på ett personligt VPN: vad som faktiskt passerar

Att koppla en företagslaptop till ett hem-VPN placerar den på två ställen samtidigt, och den intressanta frågan är mindre och mer användbar än den alarmerande. Ingen har dragit en Ethernet-kabel mellan kontoret och hemmet, och ingen rutt gör hemnätet till en förlängning av företagets subnät. Det som finns är en enda ändpunkt med åtkomst till båda miljöerna, och tre separata mekanismer avgör vad som faktiskt kan röra sig mellan dem. Att gå igenom dessa tre, från ändpunkten och utåt, ger ett svar en administratör kan agera på i stället för en debatt om etiketter.

Börja vid ändpunkten, inte vid nätverksdiagrammet

Ändpunkten är där båda anslutningarna möts, så det är där granskningen börjar: vilka processer som körs, vad de kan nå och vem som styr dem. Ett diagram som visar två moln kopplade till en laptop är korrekt och oanvändbart, eftersom det antyder en länk som kanske inte finns. Ersätt det med en lista över de program som kan tala med varje miljö, och notera vilket konto var och en körs under. Den ramen håller också granskningen proportionerlig, eftersom en laptop med två tunnlar inte är samma objekt som två sammankopplade nät.

Den listan är inventariet som resten av granskningen arbetar utifrån. Om den innehåller en synkroniseringsklient, en webbläsarprofil inloggad i båda miljöerna och en byggagent med autentiseringsuppgifter har granskningen redan sina ämnen.

Tre övergångspunkter, granskade var för sig

Programåtkomst är den första övergångspunkten och kräver ingen vidarebefordran. En webbläsarflik, en synkroniseringsklient eller en byggagent på ändpunkten kan läsa från en resurs i den ena miljön och skicka data till en resurs i den andra. Den förmågan finns oavsett om operativsystemet vidarebefordrar paket mellan gränssnitt, och det är mekanismen folk missar när de drar slutsatsen att ingen bro betyder ingen risk. Att läsa listan över program är därför mer informativt än att läsa listan över gränssnitt.

Identitet och data utgör den andra övergångspunkten. Företagets inloggningsuppgifter, sessionscookies, nedladdade dokument och administratörsrättigheter ligger på ändpunkten, och att ansluta till ett annat nät avslöjar dem inte av sig självt. Det som förändras är mängden parter som skulle kunna påverka ändpunkten medan den håller dessa uppgifter, och det är en fråga om det personliga nätets tillförlitlighet snarare än om routing. Det är en bedömning som ändpunktens ägare inte kan göra ensam, och den besvaras inte av att en vidarebefordringsregel saknas.

Nätverksvidarebefordran är den tredje, och den enda som kan göra laptopen till en transitutrustning. IP-vidarebefordran, delning av internetanslutning, en proxy eller en brofunktion kan var och en göra det, och var och en är en konfiguration som antingen är aktiverad eller inte. Inspektera det tillståndet direkt i stället för att härleda det från förekomsten av en VPN-klient. På en hanterad maskin är svaret vanligtvis nej, och att verifiera det gör en förmodan till ett faktum värt att anteckna.

Be om en resurs, inte om två nät

De flesta verkliga krav är smalare än de först verkar: en konsol, en filresurs, ett internt webbprogram. Formulera kravet så och låt ägaren av resursen avgöra om det överhuvudtaget hör hemma på den här ändpunkten. En begäran formulerad som en sammanslagning av två nät är svår att godkänna och lätt att avslå; en begäran om en namngiven tjänst har ett svar.

Om svaret är ja, föredra den smalaste stödda vägen och håll den inom organisationens befintliga kontroller. En hanterad andra profil eller en avgränsad programpost bevarar övervakning och policy; en konkurrerande personlig konfiguration ersätter dem tyst, och ingen vet vilken som vinner efter nästa uppdatering.

Ta med DNS- och ruteffekter

Namnuppslagning ändras i samma ögonblick som en andra profil är aktiv. En personlig klient kan tvinga fram sin egen resolver, en webbläsare kan använda sin egen krypterade DNS, och en policytabell kan dirigera interna namn till en annan server än företagskonfigurationen förväntar sig. Inget av detta kräver vidarebefordran, och vilket som helst av dem kan skicka ett internt värdnamn till fel plats.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Fånga de tre utdata före och efter att den andra profilen ansluter. Skillnaden mellan dem är den effekt som faktiskt når användaren, och den är ofta större än den routingändring som ärendet beskriver. Spara båda inspelningarna så att en senare granskare ser vad som ändrades och inte vad som var avsikten.

Verifiera och behåll en väg ut

Testa det godkända programmet från den verkliga processen och användarkontexten, inte från ett administratörsskal på samma maskin. Bekräfta sedan att orelaterade destinationer förblir oåtkomliga där designen kräver det: en gräns som ingen har testat är en gräns som ingen kan åberopa. Att koppla från den personliga tunneln bör återställa det tidigare tillståndet, och den återställningen är värd att kontrollera medan någon fortfarande tittar.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST:s vägledning om nolltillitsarkitektur är användbar här eftersom den tar bort nätverksplatsen som automatisk tillitskälla, och det är just den förutsättning som är omtvistad. Frågan är inte om hemnätet är pålitligt till sin natur; den är vem som kan nå vilken resurs, från vilken ändpunkt och genom vilken verkställighetspunkt. Svara på de tre, och förvara bevisen tillsammans med beslutet.