Laptop ya kazi kwenye VPN binafsi: kinachopita kwa kweli

Kuunganisha laptop ya kampuni na VPN ya nyumbani huweka mahali mawili kwa wakati mmoja, na swali la kuvutia ni dogo na lenye manufaa zaidi kuliko lile la kutisha. Hakuna aliyeweka kebo ya Ethernet kati ya ofisi na nyumbani, na hakuna njia inayofanya mtandao wa nyumbani kuwa kiendelezi cha mtandao mdogo wa kampuni. Kinachopo ni kituo kimoja cha mwisho chenye ufikiaji wa mazingira yote mawili, na taratibu tatu tofauti huamua kinachoweza kusafiri kati yao kwa kweli. Kupitia hizo tatu, kutoka kituo cha mwisho kwenda nje, hutoa jibu ambalo msimamizi anaweza kuchukua hatua badala ya mjadala kuhusu lebo.

Anza kwenye kituo cha mwisho, si kwenye mchoro wa mtandao

Kituo cha mwisho ni mahali ambapo miunganisho yote mawili hukutana, kwa hiyo hapo huanza mapitio: ni michakato ipi inayoendesha, inaweza kufikia nini, na nani anaisimamia. Mchoro unaoonyesha mawingu mawili yaliyounganishwa na laptop ni sahihi na hauna manufaa, kwa sababu unaonyesha kiungo ambacho huenda hakipo. Badilisha kwa orodha ya programu zinazoweza kuzungumza na kila mazingira, na andika kila moja inaendeshwa chini ya akaunti ipi. Mfumo huu pia huweka mapitio kuwa ya uwiano, kwa kuwa laptop yenye tunnel mbili si kitu kimoja na mitandao miwili iliyounganishwa.

Orodha hiyo ni hesabu ambayo mapitio mengine hufanyia kazi. Ikiwa ina mteja wa usawazishaji, wasifu wa kivinjari ulioingia katika mazingira yote mawili, na wakala wa ujenzi mwenye vitambulisho, mapitio tayari yana mada zake.

Vituo vitatu vya kuvuka, vilivyopitiwa kivyake

Ufikiaji wa programu ni kituo cha kwanza cha kuvuka, na hauhitaji usambazaji wowote. Kichupo cha kivinjari, mteja wa usawazishaji au wakala wa ujenzi kwenye kituo cha mwisho wanaweza kusoma kutoka rasilimali katika mazingira moja na kutuma data kwa rasilimali katika mazingira mengine. Uwezo huo upo bila kujali kama mfumo wa uendeshaji unasambaza pakiti kati ya violesura, na hiyo ndiyo taratibu ambayo watu huikosa wanapohitimisha kuwa hakuna daraja maana yake hakuna hatari. Kwa hiyo kusoma orodha ya programu kunatoa taarifa zaidi kuliko kusoma orodha ya violesura.

Utambulisho na data huunda kituo cha pili cha kuvuka. Vitambulisho vya kampuni, vidakuzi vya kipindi, hati zilizopakuliwa na haki za usimamizi huishi kwenye kituo cha mwisho, na kujiunga na mtandao mwingine hakuwaonyeshi vyenyewe. Kinachobadilika ni kundi la wahusika wanaoweza kuathiri kituo cha mwisho wakati kinashikilia vitambulisho hivyo, na hilo ni swali kuhusu uaminifu wa mtandao binafsi na si kuhusu uelekezaji. Ni hukumu ambayo mmiliki wa kituo cha mwisho hawezi kuifanya peke yake, na haijajibiwa na kutokuwepo kwa kanuni ya usambazaji.

Usambazaji wa mtandao ni wa tatu, na ndio pekee unaoweza kuufanya laptop kuwa kifaa cha kupitisha. Usambazaji wa IP, kugawana muunganisho wa intaneti, proksi au kipengele cha daraja vinaweza kufanya hivyo, na kila kimoja ni usanidi ambao ama umewashwa au haujawashwa. Kagua hali hiyo moja kwa moja badala ya kuikisia kutokana na uwepo wa mteja wa VPN. Kwenye mashine inayosimamiwa jibu kwa kawaida ni hapana, na kulithibitisha hufanya dhana kuwa ukweli unaostahili kuandikwa.

Omba rasilimali moja, si mitandao miwili

Mahitaji mengi ya kweli ni membamba kuliko yanavyoonekana mwanzoni: konsoli moja, ugawaji wa faili mmoja, programu moja ya wavuti ya ndani. Eleza hitaji hivyo na uache mmiliki wa rasilimali aamue kama inafaa kwenye kituo hiki cha mwisho. Ombi lililoundwa kama muungano wa mitandao miwili ni gumu kuidhinisha na rahisi kukataa; ombi la huduma moja iliyotajwa lina jibu.

Ikiwa jibu ni ndiyo, pendekeza njia nyembamba zaidi inayotumika na uihifadhi ndani ya udhibiti uliopo wa shirika. Wasifu wa pili unaosimamiwa au ingizo la programu lenye wigo mdogo huhifadhi ufuatiliaji na sera; usanidi binafsi unaoshindana huibadilisha kimya kimya, na hakuna anayejua ni ipi itakayoshinda baada ya sasisho lijalo.

Jumuisha athari za DNS na njia

Utatuzi wa majina hubadilika katika sekunde ambayo wasifu wa pili unakuwa hai. Mteja binafsi anaweza kulazimisha kitatuzi chake, kivinjari kinaweza kutumia DNS yake iliyosimbwa, na jedwali la sera linaweza kuelekeza majina ya ndani kwa seva tofauti na inavyotarajiwa na usanidi wa kampuni. Hakuna kimoja cha hivi kinachohitaji usambazaji, na chochote kinaweza kutuma jina la mwenyeji wa ndani mahali pasipofaa.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Nasa matokeo hayo matatu kabla na baada ya wasifu wa pili kuunganisha. Tofauti kati yao ni athari inayomfikia mtumiaji kwa kweli, na mara nyingi ni kubwa kuliko mabadiliko ya uelekezaji yanayoelezwa na tiketi. Hifadhi nakala zote mbili ili mkaguzi wa baadaye aone kilichobadilika na si kilichokusudiwa.

Thibitisha na uweke njia ya kutoka

Jaribu programu iliyoidhinishwa kutoka kwa mchakato halisi na muktadha wa mtumiaji, si kutoka kwa shell ya msimamizi kwenye mashine hiyo hiyo. Kisha thibitisha kwamba maeneo yasiyohusiana yanabaki hayawezi kufikiwa pale ambapo muundo unahitaji: mpaka ambao hakuna aliyepima ni mpaka ambao hakuna anayeweza kuudai. Kukata tunnel binafsi kunapaswa kurejesha hali ya awali, na urejeshaji huo unastahili kukaguliwa wakati mtu bado anaangalia.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Mwongozo wa NIST kuhusu usanifu wa uaminifu sifuri ni muhimu hapa kwa sababu unaondoa eneo la mtandao kama chanzo cha uaminifu wa kiotomatiki, na hiyo ndiyo dhana inayojadiliwa. Swali si kama mtandao wa nyumbani unaaminika kwa asili; swali ni nani anaweza kufikia rasilimali ipi, kutoka kituo kipi cha mwisho na kupitia kituo kipi cha utekelezaji. Jibu hizo tatu, na hifadhi ushahidi pamoja na uamuzi.