VPN สำหรับสำนักงานเล็ก: แยกออกจากโดเมนคอนโทรลเลอร์

สามเงื่อนไขตัดสินว่าเซิร์ฟเวอร์ Windows เครื่องเดียวของสำนักงานควรยกเลิก VPN ด้วยหรือไม่: คุณยินดีรันซอฟต์แวร์ที่หันสู่อินเทอร์เน็ตกี่มากบนไดเรกทอรี คุณสามารถยืนยันตัวตนผู้ใช้ระยะไกลโดยไม่มีบทบาทนั้นได้หรือไม่ และการเข้าถึงเพื่อจัดการของคุณจะเป็นอย่างไรเมื่อโฮสต์รีบูต หากข้อใดข้อหนึ่งมีคำตอบที่ไม่ดี ให้แยกบทบาทออกจากกัน ความเล็กของสำนักงานเปลี่ยนงบประมาณ ไม่ใช่ความเสี่ยง

ทุกเครื่องในโดเมนไว้วางใจโดเมนคอนโทรลเลอร์ ขณะที่เกตเวย์ VPN นั้นใครก็ตามบนอินเทอร์เน็ตเข้าถึงได้ ความไม่สมดุลนี้คือข้อโต้แย้งทั้งหมด

สองงานกับสองโปรไฟล์การเปิดเผยที่ต่างกัน

เกตเวย์รับการเชื่อมต่อจากภายนอก ดังนั้นตัวรับฟัง สแตก TLS และพื้นผิวการยืนยันตัวตนจึงเข้าถึงได้จากเครือข่ายที่ไม่น่าเชื่อถือ ไดเรกทอรีถืออำนาจที่เครื่องอื่นไว้วางใจ คำแนะนำการเสริมความแข็งแกร่งของ Microsoft จึงถือว่าบทบาทโดเมนคอนโทรลเลอร์และสภาพแวดล้อมโฮสติ้งของมันอ่อนไหวเป็นพิเศษ ทุกบริการที่เพิ่มเข้าโฮสต์นั้นสืบทอดตำแหน่งความเชื่อถือของไดเรกทอรีพร้อมกับเพิ่มพื้นผิวการโจมตีของตัวเอง ความสะดวกในการติดตั้งไม่ใช่ขอบเขตความเชื่อถือ

การแยกบทบาทไม่ได้ลบการพึ่งพา ผู้ใช้ระยะไกลยังต้องการการยืนยันตัวตน เส้นทาง DNS และกฎการเข้าถึง และเกตเวย์ที่ข้ามสิ่งเหล่านั้นไม่ได้ปลอดภัยกว่า เพียงแต่มีประโยชน์น้อยลง

การยืนยันตัวตนโดยไม่มีบทบาทไดเรกทอรี

เกตเวย์สามารถตรวจสอบข้อมูลรับรองผ่านการผสานรวมภายนอกที่รองรับโดยไม่ต้อง โฮสต์ไดเรกทอรีเอง การผสานรวมนั้นเป็นอะไรก็ตาม ให้บัญชีที่มีสิทธิตรงกับวัตถุประสงค์แก่มัน: อ่านแอตทริบิวต์ที่จำเป็นต่อการยืนยันตัวตน ไม่มากกว่านั้น การรับผู้ใช้ VPN ไม่เคยต้องทำให้บัญชีธรรมดาของพวกเขาเป็นผู้ดูแลโดเมน และไม่เคยต้องให้เกตเวย์เก็บสำเนาของไดเรกทอรี

จากนั้นจำกัดเส้นทางเครือข่ายที่ไคลเอนต์ระยะไกลต้องการจริง ๆ การเข้าถึงบริการไฟล์ภายในหนึ่งบริการ บวกบริการแก้ชื่อและบริการระบุตัวตนที่เวิร์กโฟลว์นั้นพึ่งพา คือชุดเส้นทางที่กำหนดไว้ ไม่ใช่เหตุผลที่จะอนุญาตทุกพอร์ตของโดเมนคอนโทรลเลอร์หรือทุกอินเทอร์เฟซการจัดการจากพูล VPN

โฮสต์เดียวก็ยังเป็นโดเมนความล้มเหลวเดียว

เกสต์สองตัวบนไฮเปอร์ไวเซอร์เดียวแยกการกำหนดค่าระบบปฏิบัติการออกจากกัน แต่ไม่ได้แยกชะตากรรม ผู้ดูแลไฮเปอร์ไวเซอร์ การสวิตช์เสมือน ที่เก็บข้อมูลและการสำรองยังเป็นส่วนหนึ่งของการออกแบบ และการรีบูตโฮสต์จะเอาการบริการทั้งสองออกพร้อมกัน การเรียกสิ่งนั้นว่าความพร้อมใช้งานสูงเพราะไดอะแกรมแสดง VM สองตัวเป็นข้อผิดพลาดที่พบบ่อยและมีราคาแพง หากเส้นทางกลับเพียงเส้นเดียววิ่งผ่าน VPN บนโฮสต์นั้น ความล้มเหลวจะพรากการเชื่อมต่อที่จำเป็นต่อการซ่อมมัน

ดังนั้นจงวางแผนเส้นทางการจัดการที่เป็นอิสระซึ่งไม่ขึ้นกับอุโมงค์ และจดว่าอะไรยังใช้ได้ระหว่างการบำรุงรักษา กำหนดเวลาอัปเดตเกตเวย์และการบำรุงรักษาไดเรกทอรีแยกกัน โดยระบุว่าการหยุดชะงักแต่ละครั้งกระทบผู้ใช้หรือแอปพลิเคชันใด

หน้าต่างบำรุงรักษาที่ต้องให้ VPN ทำงานเพื่อซ่อม VPN ไม่ใช่หน้าต่างบำรุงรักษา

ย้ายมันโดยไม่ล็อกตัวเองออกมา

หากบทบาทแบ่งปันการติดตั้งเดียวอยู่แล้ว ให้หลีกเลี่ยงการย้ายระยะไกลอย่างเร่งรีบ จัดทำบัญชีสิ่งที่เกตเวย์มีอยู่วันนี้: ที่อยู่ กฎการส่งต่อ NAT การตั้งค่า DNS การกำหนดค่าการยืนยันตัวตน และบริการที่เผยแพร่ เตรียมทั้งสิ่งทดแทนและเส้นทางกลับก่อนย้ายตัวรับฟังหรือเปลี่ยนเส้นทางเริ่มต้น จากนั้นทดสอบงานจริงของผู้ใช้ระยะไกลทั่วไปผ่านขอบเขตใหม่ และยืนยันว่าการเข้าถึงเพื่อจัดการที่ไม่จำเป็นยังล้มเหลว

เป้าหมายไม่ใช่ไดอะแกรมที่สวยกว่า แต่เป็นความสามารถในการซ่อมหรือสร้าง VPN ใหม่โดยไม่แตะกล่องที่ยึดความเชื่อถือของไดเรกทอรีสำหรับสำนักงานทั้งหมด นั่นคือเป้าหมายที่ต่างกัน และมีเพียงหนึ่งเดียวที่ต้องใช้เซิร์ฟเวอร์เครื่องที่สอง

บันทึกการตัดสินใจไม่ว่าจะทางใด รวมถึงเงื่อนไขที่จะเปิดมันอีกครั้ง สำนักงานเล็กเติบโต และคำตอบที่เหมาะกับเซิร์ฟเวอร์หนึ่งอาจไม่เหมาะกับเครื่องถัดไป