แล็ปท็อปทำงานบน VPN ส่วนตัว: อะไรข้ามจริง

การต่อแล็ปท็อปของบริษัทเข้ากับ VPN ที่บ้านทำให้เครื่องอยู่สองที่พร้อมกัน และคำถามที่น่าสนใจก็เล็กกว่าและมีประโยชน์กว่าคำถามที่น่าตกใจ ไม่มีใครลากสายอีเทอร์เน็ตระหว่างออฟฟิศกับบ้าน และไม่มีเส้นทางใดทำให้เครือข่ายบ้านเป็นส่วนขยายของซับเน็ตองค์กร สิ่งที่มีอยู่คือปลายทางเดียวที่เข้าถึงได้ทั้งสองสภาพแวดล้อม และกลไกแยกกันสามอย่างเป็นตัวตัดสินว่าอะไรเคลื่อนย้ายระหว่างกันได้จริง การไล่ทั้งสามอย่างจากปลายทางออกไปให้คำตอบที่ผู้ดูแลระบบลงมือได้แทนการถกเถียงเรื่องป้ายชื่อ

เริ่มที่ปลายทาง ไม่ใช่ที่แผนภาพเครือข่าย

ปลายทางคือจุดที่การเชื่อมต่อทั้งสองมาบรรจบกัน จึงเป็นจุดเริ่มต้นของการทบทวน: มีโปรเซสใดทำงาน เข้าถึงอะไรได้ และใครควบคุมมัน แผนภาพที่แสดงคลาวด์สองก้อนต่อกับแล็ปท็อปนั้นถูกต้องแต่ไร้ประโยชน์ เพราะสื่อถึงลิงก์ที่อาจไม่มีอยู่จริง เปลี่ยนเป็นรายการแอปพลิเคชันที่คุยกับแต่ละสภาพแวดล้อมได้ และบันทึกว่าแต่ละตัวทำงานภายใต้บัญชีใด กรอบนี้ยังทำให้การทบทวนได้สัดส่วน เพราะแล็ปท็อปที่มีสองอุโมงค์ไม่ใช่วัตถุเดียวกับเครือข่ายสองเครือข่ายที่ต่อกัน

รายการนั้นคือบัญชีที่การทบทวนส่วนที่เหลือทำงานจากมัน ถ้ามีไคลเอนต์ซิงค์ โปรไฟล์เบราว์เซอร์ที่ลงชื่อเข้าใช้ทั้งสองสภาพแวดล้อม และเอเจนต์บิลด์ที่มีข้อมูลรับรอง การทบทวนก็มีหัวข้อของมันแล้ว

สามจุดข้าม แยกกันทบทวน

การเข้าถึงของแอปพลิเคชันคือจุดข้ามแรก และไม่ต้องมีการส่งต่อใด ๆ แท็บเบราว์เซอร์ ไคลเอนต์ซิงค์ หรือเอเจนต์บิลด์บนปลายทางสามารถอ่านจากทรัพยากรในสภาพแวดล้อมหนึ่งและส่งข้อมูลไปยังทรัพยากรในอีกสภาพแวดล้อมหนึ่ง ความสามารถนี้มีอยู่ไม่ว่าระบบปฏิบัติการจะส่งต่อแพ็กเก็ตระหว่างอินเทอร์เฟซหรือไม่ และนี่คือกลไกที่ผู้คนมองข้ามเมื่อสรุปว่าไม่มีสะพานก็ไม่มีความเสี่ยง การอ่านรายการแอปพลิเคชันจึงให้ข้อมูลมากกว่าการอ่านรายการอินเทอร์เฟซ

ตัวตนและข้อมูลเป็นจุดข้ามที่สอง ข้อมูลรับรององค์กร คุกกี้เซสชัน เอกสารที่ดาวน์โหลด และสิทธิ์การจัดการอยู่บนปลายทาง และการเข้าร่วมเครือข่ายอื่นไม่ได้เปิดเผยสิ่งเหล่านั้นโดยตัวมันเอง สิ่งที่เปลี่ยนไปคือกลุ่มผู้ที่อาจมีอิทธิพลต่อปลายทางในขณะที่มันถือข้อมูลรับรองเหล่านั้น และนี่คือคำถามเรื่องความน่าเชื่อถือของเครือข่ายส่วนตัว ไม่ใช่เรื่องการกำหนดเส้นทาง นี่คือการตัดสินที่เจ้าของปลายทางทำคนเดียวไม่ได้ และการไม่มีกฎการส่งต่อก็ไม่ใช่คำตอบ

การส่งต่อเครือข่ายคือจุดที่สาม และเป็นจุดเดียวที่เปลี่ยนแล็ปท็อปให้เป็นอุปกรณ์ส่งผ่านได้ การส่งต่อ IP การแชร์การเชื่อมต่ออินเทอร์เน็ต พร็อกซี หรือฟีเจอร์บริดจ์ทำได้ทุกอย่าง และแต่ละอย่างเป็นการตั้งค่าที่เปิดหรือไม่เปิด ตรวจสอบสถานะนั้นโดยตรงแทนการอนุมานจากการมีอยู่ของไคลเอนต์ VPN บนเครื่องที่ได้รับการจัดการ คำตอบมักจะเป็นไม่ และการตรวจสอบทำให้ข้อสมมติกลายเป็นข้อเท็จจริงที่ควรบันทึก

ขอทรัพยากรเดียว ไม่ใช่สองเครือข่าย

ข้อกำหนดจริงส่วนใหญ่แคบกว่าที่เห็นในตอนแรก: คอนโซลหนึ่งแห่ง การแชร์ไฟล์หนึ่งจุด เว็บแอปพลิเคชันภายในหนึ่งตัว ระบุข้อกำหนดเช่นนั้นและให้เจ้าของทรัพยากรตัดสินว่ามันอยู่บนปลายทางนี้หรือไม่ คำขอที่เขียนในรูปของการรวมสองเครือข่ายนั้นอนุมัติยากและปฏิเสธง่าย ส่วนคำขอสำหรับบริการที่ระบุชื่อหนึ่งบริการมีคำตอบ

ถ้าคำตอบคือใช่ ให้เลือกเส้นทางที่แคบที่สุดซึ่งได้รับการสนับสนุนและเก็บไว้ในกรอบการควบคุมที่มีอยู่ขององค์กร โปรไฟล์ที่สองที่ได้รับการจัดการหรือรายการแอปพลิเคชันที่จำกัดขอบเขตจะรักษาการเฝ้าระวังและนโยบายไว้ ส่วนการตั้งค่าส่วนตัวที่แข่งขันกันจะแทนที่สิ่งเหล่านั้นอย่างเงียบ ๆ และไม่มีใครรู้ว่าอันไหนชนะหลังการอัปเดตครั้งถัดไป

รวมผลกระทบของ DNS และเส้นทาง

การแปลงชื่อเปลี่ยนทันทีที่โปรไฟล์ที่สองทำงาน ไคลเอนต์ส่วนตัวอาจบังคับตัวแปลงของตน เบราว์เซอร์อาจใช้ DNS ที่เข้ารหัสของตน และตารางนโยบายอาจกำหนดเส้นทางชื่อภายในไปยังเซิร์ฟเวอร์อื่นจากที่การกำหนดค่าองค์กรคาดหวัง ไม่มีสิ่งใดต้องส่งต่อ และสิ่งใดก็ตามสามารถส่งชื่อโฮสต์ภายในไปยังที่ผิดได้

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

บันทึกผลลัพธ์ทั้งสามก่อนและหลังโปรไฟล์ที่สองเชื่อมต่อ ความแตกต่างระหว่างสิ่งเหล่านั้นคือผลกระทบที่ไปถึงผู้ใช้จริง และมักใหญ่กว่าการเปลี่ยนแปลงเส้นทางที่ตั๋วอธิบายไว้ เก็บการบันทึกทั้งสองไว้เพื่อให้ผู้ทบทวนภายหลังเห็นว่าอะไรเปลี่ยนไป ไม่ใช่ว่าอะไรตั้งใจ

ตรวจสอบและเก็บทางออก

ทดสอบแอปพลิเคชันที่อนุมัติจากโปรเซสและบริบทผู้ใช้จริง ไม่ใช่จากเชลล์ผู้ดูแลบนเครื่องเดียวกัน จากนั้นยืนยันว่าปลายทางที่ไม่เกี่ยวข้องยังเข้าถึงไม่ได้ในที่ที่การออกแบบกำหนด: ขอบเขตที่ไม่มีใครทดสอบคือขอบเขตที่ไม่มีใครอ้างได้ การตัดการเชื่อมต่ออุโมงค์ส่วนตัวควรคืนสภาพเดิม และการคืนสภาพนั้นควรค่าแก่การตรวจขณะที่ยังมีคนเฝ้าดู

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

แนวทางของ NIST เรื่อง สถาปัตยกรรมความเชื่อมั่นศูนย์ มีประโยชน์ตรงนี้เพราะมันตัดตำแหน่งในเครือข่ายออกจากแหล่งความเชื่อมั่นอัตโนมัติ ซึ่งเป็นข้อสมมติที่กำลังถกกันพอดี คำถามไม่ใช่เครือข่ายบ้านน่าเชื่อถือโดยธรรมชาติหรือไม่ แต่เป็นใครเข้าถึงทรัพยากรใด จากปลายทางใด ผ่านจุดบังคับใช้ใด ตอบสามข้อนั้นและเก็บหลักฐานไว้กับคำตัดสิน