Magmungkahi ng aparatong pang-remote access na maaaring aprubahan ng may-ari ng network

Binabago ng isang remote-access appliance ang hangganan ng network ng kliyente kahit na tumatawag ito palabas at hindi nangangailangan ng papasok na port forwarding. Ang direksiyon palabas ang siyang nagpapadali ng pag-install at nagpapadali ng pagkaligta. Iharap ito bilang isang kahilingan sa disenyo ng access bago ito pumasok sa network. Ang pagharap dito bilang isang bagay na hindi mo kailangang banggitin ay ang paraan kung paano nagiging problema sa kontrata ang isang teknikal na tagumpay.

Ipagpalagay na magtatanong ang may-ari ng network ng apat na bagay: ano, sino, hanggang saan, at paano namin ito babawiin.

Humingi ng resource, hindi ng subnet

Ilarawan ang trabaho sa mga salitang ginagamit ng may-ari: aling tao ang nangangailangan ng aling serbisyo, sa aling device, at gaano katagal. Ang kahilingang nakapaloob sa isang application sa isang host ay madaling aprubahan. Ang kahilingan para sa isang subnet ay kahilingan na ayusin muli ang segmentation ng ibang tao.

Maaaring may pinapatakbo nang aprubadong VPN, gateway ng remote desktop o pinamamahalaang channel ng suporta ang kliyente na tumutugon sa pangangailangan. Suriin muna iyon, dahil ang muling paggamit ng umiiral na landas ay karaniwang pinakamurang sagot para sa magkabilang panig. Kung hindi ito umaangkop, sabihin nang tumpak kung bakit. Ang paghahambing na iyon ang pinakamalakas na bahagi ng panukala.

Kung talagang kailangan ang isang appliance, dalhin ang may-ari nito, pinagmulan ng software, proseso ng pag-update at nilalayong lugar ng pag-install.

Ipakita ang koneksiyon at kung saan nagtatapos ang pagtitiwala

Iguhit ang appliance, ang remote na user, anumang broker o relay at ang protektadong resource. Markahan kung saan nagtatapos ang encryption at kung sino ang namamahala sa bawat endpoint. Ang isang palabas na session ay nagpapasok pa rin ng bagong control path, at sa diagram ito nagiging nakikita. Ang pagsasabing naka-encrypt ang trapiko ay sumasagot sa tanong ng pagiging kompidensiyal at hindi sa tanong ng awtorisasyon.

Sabihin nang tahasan ang mode: packet forwarding, application proxy, o nakalantad na desktop. Bawat isa ay may ibang bunga sa routing at seguridad ng host, at bawat isa ay nabibigo nang iba kapag nakompromiso ang appliance.

Panatilihin ang mga walang kaugnayang network ng kliyente at ang sariling administration interface ng appliance sa labas ng aprubadong saklaw.

Ihiwalay ang pagkakakilanlan ng user sa pagkakakilanlan ng device

Ang pagpapatala ng user, pagkakakilanlan ng device, multifactor authentication at pag-log in sa application ay apat na magkaibang kontrol, at dapat pangalanan ng panukala ang bawat isa. Ang pinagsasaluhang kredensiyal ang karaniwang shortcut, at iniiwan nito ang may-ari na hindi kayang bawiin ang isang tao nang hindi naaabala ang lahat. Dapat manatili sa application ang pag-log in. Ang appliance ang nagpapatunay ng koneksiyon; ang serbisyo ang nagpapasya kung ano ang maaaring gawin ng koneksiyong iyon.

Kapaki-pakinabang dito ang zero-trust architecture ng NIST dahil itinuturing nitong tahasang desisyon ang pag-access sa resource at hindi bunga ng lokasyon sa network.

Magkasundo sa pagbangon at pag-alis bago ang pag-install

Dapat kayang patayin ng may-ari ang access agad sa pamamagitan ng kontrol na siya mismo ang nagpapatakbo, hindi sa pamamagitan ng tawag sa iyo. Isulat ang pagbawi ng kredensiyal, pag-alis ng appliance, responsibilidad sa pag-update at petsa ng pag-expire o pagrepaso. Panatilihin ang lokal na landas ng pagbangon na hindi nakadepende sa bagong remote channel. Ang appliance na walang makapag-aalis nang wala ang vendor ay permanenteng pagdepende na nagpapanggap na kaginhawahan.

Panatilihing may proporsiyon ang mga talaan: aprubadong pagkakakilanlan, saklaw ng access, mahahalagang pagbabago at kaugnay na mga pagpalya.

Ang pagkolekta ng walang kaugnayang browsing history para patunayang umiiral ang appliance ay hindi ebidensiya ng mahusay na operasyon, at lumilikha ito ng obligasyong hindi kailanman hiniling ng may-ari.

Ano ang hitsura ng matagumpay na pag-apruba

Tanggapin ang disenyo kasama ng may-ari na may isang pinapayagang serbisyo at isang resource na dapat manatiling tinatanggihan. Ang ikalawang kalahati ang bahaging nilalaktawan ng mga tao, at ito ang tanging bahagi na nagpapatunay na ang hangganan ay nasa lugar na sinasabi ng diagram. Subukan ang pagbawi sa parehong paraan, bago magdala ng tunay na trabaho ang appliance. Kung tinanggihan ang pag-apruba, gamitin ang aprubadong alternatibo ng kliyente o gawin ang trabaho nang lokal.

Ang gumaganang koneksiyon ay hindi pahintulot na likhain ang landas ng access.

Isulat ang pag-apruba kasama ang saklaw at pag-expire nito, at magbigay ng kopya sa may-ari. Ang susunod na taong hahawak sa network na iyon ay babasahin ang talaan, hindi ang iyong alaala sa usapan.