VPN ทำงานในซาอุดีอาระเบีย: สามคำถามก่อนขอสิทธิ์เข้าถึง

การเข้าสู่ระบบครั้งที่สองที่ถูกปฏิเสธ หรือแอปพลิเคชันภายในที่ถูกบล็อก ไม่ค่อยบ่งชี้ว่าอุโมงค์เสีย VPN สำหรับงานบังคับใช้สามเรื่องแยกกัน คือบัญชีเข้าถึงอะไรได้บ้าง เก็บได้กี่เซสชัน และมีบริการภายในใดบ้างที่เผยแพร่ให้ผู้ใช้ระยะไกล ถามคำถามสามข้อนี้ตามลำดับ เพราะแต่ละข้อมีเจ้าของต่างกัน กรอบที่เผยแพร่ เช่น แนวทางของ NCA เกี่ยวกับการนำการทำงานระยะไกลไปใช้ เป็นกรอบที่มีประโยชน์สำหรับการสนทนา ไม่ใช่คำตัดสินเกี่ยวกับสถานะทางกฎหมายของใคร

ข้อแรก: บัญชีนี้ได้รับอนุญาตให้เข้าถึงอะไร

สิทธิ์การเข้าถึงกำหนดจากความอ่อนไหวของระบบ ระดับการเข้าถึง และประเภทอุปกรณ์ที่อนุญาต และสิ่งเหล่านี้เป็นการตัดสินใจขององค์กร ไม่ใช่คุณสมบัติของอุโมงค์ การมีรหัสผ่านตอบเพียงว่าสามารถสร้างการเชื่อมต่อได้หรือไม่ ไม่ได้บอกว่าบัญชีเปิดเอกสารได้ บริหารเซิร์ฟเวอร์ได้ หรือเปลี่ยนตัวควบคุมได้หรือไม่ ขอทรัพยากรและการดำเนินการที่ต้องการ ไม่ใช่ขอเข้าถึงเครือข่ายทั้งหมด

คำขอที่เขียนเป็นปลายทางอนุมัติได้ง่ายกว่าคำขอที่เขียนเป็นความรู้สึก ดังนั้นคำถามแรกจึงเกี่ยวกับทรัพยากร ไม่ใช่เครือข่าย

NCA 2-2-1-1 ผูกสิทธิ์การเข้าถึงกับสามมิติเหล่านี้อย่างแม่นยำ คำตอบจึงต้องระบุระบบและการดำเนินการ ตรรกะเดียวกันปรากฏในแนวทางความเชื่อมั่นศูนย์: ตำแหน่งในเครือข่ายไม่ใช่การอนุญาต ผู้ใช้บน VPN ขององค์กรและผู้ใช้บนการเชื่อมต่อที่บ้านต่างได้รับการยืนยันตัวตนได้ และแอปพลิเคชันยังคงตัดสินว่าแต่ละคนทำอะไรได้

ข้อที่สอง: มีกี่เซสชันที่ทำงานพร้อมกันได้

การเข้าถึงระยะไกลพร้อมกันเป็นการควบคุมแยกต่างหาก และ NCA 2-2-1-2 ครอบคลุมเรื่องนี้พร้อมเส้นทางอนุมัติสำหรับข้อยกเว้น องค์กรมักจำกัดเรื่องนี้ บางครั้งเหลือหนึ่งเซสชันที่ใช้งานอยู่ต่อบัญชี ขีดจำกัดเป็นตัวเลขเชิงนโยบายที่ผู้ให้บริการกำหนด ไม่ใช่ค่าคงที่ของโปรโตคอล จึงไม่มีใครนอกองค์กรบอกค่าให้คุณได้ เซสชันเก่าที่ไม่มีใครปิดได้เป็นปัญหาการดำเนินงานที่ควรรายงานในตัวเอง

หากแล็ปท็อปเครื่องที่สองถูกปฏิเสธ คำอธิบายปกติคือเซสชันแรก ถามว่าผู้ให้บริการระบุเซสชันอย่างไรและเซสชันเก่าถูกปิดอย่างไร บางระบบปล่อยให้เซสชันที่ไม่ได้ใช้งานหมดอายุ ระบบอื่นเก็บไว้จนกว่าจะสิ้นสุดอย่างชัดเจน อย่าติดตั้งไคลเอนต์ใหม่ อย่าสลับโปรไฟล์ และอย่าเปลี่ยนทางออกก่อนที่คำตอบนั้นจะมาถึง

ข้อที่สาม: มีบริการภายในใดบ้างที่เผยแพร่

การเข้าถึงระยะไกลมักเผยแพร่ชุดบริการ โปรโตคอล และพอร์ตที่กำหนดไว้ และ NCA 2-4-1-1 จำกัดชุดนั้นไว้เท่าที่งานระยะไกลต้องการจริง รายการเล็กกว่าเครือข่ายส่วนตัว และนั่นเป็นความตั้งใจ ถามว่าต้องการบริการและพอร์ตใด แทนที่จะขอการเข้าถึงกว้าง ๆ เพราะคำขอกว้าง ๆ ยากต่อการให้เหตุผลและยากกว่ามากต่อการทบทวนภายหลัง

คำขอรับการสนับสนุนควรมีบทบาทของบัญชี อุปกรณ์ที่อนุมัติ บริการเป้าหมาย เวลาที่เกิดความล้มเหลว และข้อความข้อผิดพลาดที่ไม่เป็นความลับ ส่งผ่านช่องทางขององค์กร ไม่ใช่ส่งถึงคนที่ตอบก่อนในกลุ่มแชต เท่านี้ก็เพียงพอให้เจ้าของตรวจสอบนโยบายและบันทึก รหัสผ่าน รหัสกู้คืน และคีย์ส่วนตัวไม่ควรอยู่ในนั้น

ควรทำอย่างไรเมื่อคำตอบคือไม่

การปฏิเสธมักเป็นความไม่ตรงกันของขอบเขต ไม่ใช่คำตัดสินด้านความปลอดภัย บริการอาจเผยแพร่เฉพาะที่อยู่สำนักงาน หรือบทบาทอาจไม่มีสิทธิ์ดำเนินการนั้นแม้อุโมงค์จะทำงาน ถามว่าคำถามสามข้อใดล้มเหลว และวิธีแก้มักจะชัดเจน หากต้องการข้อยกเว้น ให้ขอให้เจ้าของบันทึกไว้แทนที่จะเลี่ยง

อย่ายืมเซสชันของเพื่อนร่วมงาน อย่าปิดการตรวจสอบของไคลเอนต์ และอย่าเส้นทางข้อมูลผ่านทางออกที่ไม่อนุมัติเพื่อให้การทดสอบผ่าน แต่ละอย่างแทนที่การปฏิเสธที่ตรวจสอบได้ด้วยความสำเร็จที่ไม่มีใครตรวจสอบได้ และการทบทวนครั้งถัดไปจะพบความแตกต่าง ข้อยกเว้นที่อนุมัติช้ากว่าและอยู่รอดการตรวจสอบ

คำถามที่นำไปหาเจ้าของ

จดไว้ก่อนโทร: บัญชีนี้ได้รับอนุมัติสำหรับทรัพยากรและการดำเนินการใด นโยบายเซสชันพร้อมกันเป็นอย่างไรและเซสชันเก่าถูกทำความสะอาดอย่างไร และบริการและพอร์ตภายในใดบ้างที่เผยแพร่ให้ผู้ใช้ระยะไกล ขอให้เจ้าของยืนยันการใช้งานในปัจจุบัน เพราะแนวทางมีการปรับปรุงและนโยบายภายในอาจเข้มงวดกว่าฐานที่เผยแพร่ เพิ่มข้อกำหนดด้านอุปกรณ์หากองค์กรมี

กรอบการควบคุมช่วยให้คุณถามคำถามที่แม่นยำ ไม่ได้อนุญาตกิจกรรมใด และไม่ได้แทนที่คำตอบของผู้ให้บริการ

นำคำตอบกลับไปหาเจ้าของคนเดิมเมื่อมีการเสนอการเปลี่ยนแปลงครั้งถัดไป นั่นคือสิ่งที่เปลี่ยนการอนุมัติครั้งเดียวให้เป็นนโยบายที่มีคนดูแล