VPN para sa maliit na opisina: ilayo ito sa domain controller

Tatlong kondisyon ang nagpapasya kung ang nag-iisang Windows server ng opisina ay dapat ding magtapos ng VPN: gaano karaming software na nakaharap sa internet ang handa mong patakbuhin sa direktoryo, kung maaari mong i-authenticate ang mga malayong user nang wala ang tungkuling iyon, at ano ang nangyayari sa iyong access sa pamamahala kapag nag-restart ang host. Kung ang alinman sa tatlo ay may masamang sagot, paghiwalayin ang mga tungkulin. Ang pagiging maliit ng opisina ay nagbabago ng badyet, hindi ang panganib.

Bawat makina sa domain ay nagtitiwala sa isang domain controller; ang isang VPN gateway ay maaabot ng kahit sino sa internet. Ang kawalan ng simetrya na iyon ang buong argumento.

Dalawang trabaho na may dalawang magkaibang profile ng pagkakalantad

Tumatanggap ang gateway ng mga koneksyon mula sa labas, kaya ang listener nito, ang TLS stack at ang surface ng authentication ay lahat maaabot mula sa mga network na hindi pinagkakatiwalaan. Ang direktoryo ay may awtoridad na pinagkakatiwalaan ng ibang makina, kaya tinatrato ng hardening guidance ng Microsoft ang tungkulin ng domain controller at ang hosting environment nito bilang partikular na sensitibo. Bawat serbisyo na idinagdag sa host na iyon ay nagmamana ng posisyon ng tiwala ng direktoryo habang nagdaragdag ng sarili nitong attack surface. Ang kaginhawahan ng pag-install ay hindi hangganan ng tiwala.

Ang paghihiwalay ng mga tungkulin ay hindi nag-aalis ng mga dependency. Ang mga malayong user ay nangangailangan pa rin ng authentication, ruta, DNS at mga tuntunin sa access, at ang gateway na lumalaktaw sa mga ito ay hindi mas ligtas, mas kaunti lang ang gamit.

Authentication na walang tungkulin ng direktoryo

Maaaring i-validate ng gateway ang mga kredensyal sa pamamagitan ng sinusuportahang panlabas na integration nang hindi nagho-host ng direktoryo mismo. Anuman ang integration na iyon, bigyan ito ng account na ang mga karapatan ay tumutugma sa layunin: basahin ang mga attribute na kailangan para sa authentication, wala nang iba. Ang pagtanggap ng mga user ng VPN ay hindi kailanman nangangailangan na gawing domain administrator ang kanilang mga ordinaryong account, at hindi kailanman nangangailangan na humawak ang gateway ng kopya ng direktoryo.

Pagkatapos, limitahan ang mga network path na talagang kailangan ng malayong client. Ang access sa isang panloob na serbisyo ng file, kasama ang mga serbisyo ng name resolution at identity na pinagkakatiwalaan ng workflow na iyon, ay isang tinukoy na hanay ng mga path. Hindi ito dahilan para payagan ang bawat port ng domain controller o bawat administrative interface mula sa VPN pool.

Isang host ay isa pa ring failure domain

Dalawang guest sa isang hypervisor ay naghihiwalay ng kanilang configuration ng operating system at hindi naghihiwalay ng kanilang kapalaran. Ang mga administrator ng hypervisor, virtual switching, storage at mga backup ay bahagi pa rin ng disenyo, at ang restart ng host ay nag-aalis ng parehong serbisyo nang sabay. Ang tawagin itong high availability dahil nagpapakita ng dalawang VM ang diagram ay karaniwan at mamahaling pagkakamali. Kung ang tanging daan pabalik ay dumadaan sa VPN sa host na iyon, kinukuha ng failure ang koneksyon na kailangan upang ayusin ito.

Kaya magplano ng independiyenteng landas ng pamamahala na hindi umaasa sa tunnel, at isulat kung ano ang nananatiling available sa panahon ng maintenance. I-iskedyul nang hiwalay ang mga update ng gateway at maintenance ng direktoryo, na tandaan kung aling mga user o application ang naaabot ng bawat pagkaantala.

Ang maintenance window na nangangailangan ng VPN na nakaupo upang ayusin ang VPN ay hindi maintenance window.

Ilipat ito nang hindi nakakandado sa labas

Kung ang mga tungkulin ay nagbabahagi na ng isang pag-install, iwasan ang nagmamadaling malayong migration. Imbentaryuhin kung ano ang pag-aari ng gateway ngayon: mga address, forwarding rule, NAT, setting ng DNS, configuration ng authentication at anumang nai-publish na serbisyo. Ihanda ang kapalit at ang daan pabalik bago ilipat ang listener o baguhin ang default route. Pagkatapos, subukan ang tunay na trabaho ng isang ordinaryong malayong user sa pamamagitan ng bagong hangganan, at kumpirmahing nabibigo pa rin ang hindi kinakailangang administrative access.

Ang layunin ay hindi mas magandang diagram. Ito ay ang kakayahang ayusin o muling buuin ang VPN nang hindi hinahawakan ang kahon na nangungulo sa tiwala ng direktoryo para sa buong opisina. Magkaiba ang mga layuning iyon, at isa lamang sa kanila ang nangangailangan ng pangalawang server.

Itala ang desisyon kahit alin, kasama ang mga kondisyon na muling magbubukas nito. Lumalaki ang maliit na opisina, at ang sagot na umangkop sa isang server ay maaaring hindi umangkop sa susunod.