Laptop sa trabaho sa personal na VPN: ano ang tunay na tumatawid

Ang pagkonekta ng laptop ng kumpanya sa VPN sa bahay ay naglalagay nito sa dalawang lugar nang sabay, at ang kawili-wiling tanong ay mas maliit at mas kapaki-pakinabang kaysa sa nakakatakot. Walang naglagay ng kable ng Ethernet sa pagitan ng opisina at bahay, at walang ruta ang gumagawa sa bahay na extension ng subnet ng kumpanya. Ang mayroon ay isang dulo na may access sa dalawang kapaligiran, at tatlong magkakahiwalay na mekanismo ang nagpapasya kung ano ang tunay na makakagalaw sa pagitan nila. Ang pagdaan sa tatlong iyon, mula sa dulo pakanlabas, ay nagbibigay ng sagot na maaaring aksyunan ng administrador sa halip na debate tungkol sa mga label.

Magsimula sa dulo, hindi sa diagram ng network

Ang dulo ang lugar kung saan nagtatagpo ang dalawang koneksyon, kaya doon nagsisimula ang pagsusuri: aling mga proseso ang tumatakbo, ano ang maaabot nila, at sino ang kumokontrol sa kanila. Ang diagram na nagpapakita ng dalawang ulap na konektado sa laptop ay tumpak at walang gamit, dahil nagpapahiwatig ito ng ugnayang maaaring wala. Palitan ito ng listahan ng mga application na makakausap sa bawat kapaligiran, at itala kung sa aling account tumatakbo ang bawat isa. Pinapanatili rin ng balangkas na ito ang pagsusuri na may proporsyon, dahil ang laptop na may dalawang tunnel ay hindi parehong bagay sa dalawang network na pinag-isa.

Ang listahang iyon ang imbentaryo na pinagmumulan ng natitirang pagsusuri. Kung mayroon itong kliyente ng pag-sync, profile ng browser na naka-sign in sa dalawang kapaligiran, at ahente ng build na may mga kredensyal, mayroon nang mga paksa ang pagsusuri.

Tatlong punto ng pagtawid, sinusuri nang hiwalay

Ang access ng application ang unang punto ng pagtawid, at hindi ito nangangailangan ng anumang forwarding. Ang tab ng browser, kliyente ng pag-sync, o ahente ng build sa dulo ay makakabasa mula sa isang mapagkukunan sa isang kapaligiran at makakapagpadala ng datos sa isang mapagkukunan sa isa pa. Umiiral ang kakayahang ito kahit nagpapasa o hindi ang operating system ng mga packet sa pagitan ng mga interface, at iyon ang mekanismong napapabayaan ng mga tao kapag naghihinuha silang walang tulay ay walang panganib. Kaya mas may impormasyon ang pagbasa ng listahan ng application kaysa sa pagbasa ng listahan ng interface.

Ang pagkakakilanlan at datos ang bumubuo sa ikalawang punto ng pagtawid. Ang mga kredensyal ng kumpanya, cookies ng session, mga na-download na dokumento, at mga karapatan sa pamamahala ay nasa dulo, at ang pagsali sa ibang network ay hindi nagbubunyag sa mga ito nang mag-isa. Ang nagbabago ay ang pangkat ng mga partidong makakaimpluwensya sa dulo habang hawak nito ang mga kredensyal na iyon, at tanong ito tungkol sa pagiging maaasahan ng personal na network, hindi tungkol sa routing. Hatol ito na hindi magagawa ng may-ari ng dulo nang mag-isa, at hindi ito sinasagot ng kawalan ng tuntunin sa forwarding.

Ang forwarding ng network ang pangatlo, at ang tanging makakagawang transit device sa laptop. Ang forwarding ng IP, pagbabahagi ng koneksyon sa internet, proxy, o tampok na tulay ay makakagawa niyon, at bawat isa ay konfigurasyong nakabukas o hindi. Suriin ang estadong iyon nang direkta sa halip na hinuha ito mula sa presensya ng kliyente ng VPN. Sa pinamamahalaang makina ang sagot ay karaniwang hindi, at ang pagpapatunay nito ay ginagawang katotohanang dapat itala ang isang palagay.

Humingi ng isang mapagkukunan, hindi dalawang network

Karamihan sa tunay na pangangailangan ay mas makitid kaysa sa tila sa simula: isang console, isang file share, isang panloob na web application. Sabihin ang pangangailangan nang ganoon at hayaang magpasya ang may-ari ng mapagkukunan kung nababagay ito sa dulong ito. Ang kahilingang nakabalangkas bilang pagsasama ng dalawang network ay mahirap aprubahan at madaling tanggihan; ang kahilingan para sa isang pinangalanang serbisyo ay may sagot.

Kung oo ang sagot, piliin ang pinakamakitid na sinusuportahang landas at panatilihin ito sa loob ng umiiral na mga kontrol ng organisasyon. Ang pinamamahalaang ikalawang profile o entry ng application na may limitadong saklaw ay nagpapanatili ng pagmamatyag at patakaran; ang karibal na personal na konfigurasyon ay tahimik na pumapalit sa mga iyon, at walang nakakaalam kung alin ang mananalo pagkatapos ng susunod na update.

Isama ang mga epekto ng DNS at ruta

Nagbabago ang resolusyon ng pangalan sa sandaling aktibo ang ikalawang profile. Maaaring ipilit ng personal na kliyente ang sariling resolver, maaaring gumamit ang browser ng sariling naka-encrypt na DNS, at maaaring i-route ng talahanayan ng patakaran ang panloob na mga pangalan sa ibang server kaysa sa inaasahan ng konfigurasyon ng kumpanya. Wala sa mga ito ang nangangailangan ng forwarding, at alinman sa mga ito ay makakapagpadala ng panloob na hostname sa maling lugar.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Kunin ang tatlong output na iyon bago at pagkatapos kumonekta ang ikalawang profile. Ang pagkakaiba ng mga ito ang epektong tunay na umaabot sa gumagamit, at kadalasan ito ay mas malaki kaysa sa pagbabago ng routing na inilalarawan ng tiket. Itago ang dalawang pagkuha upang makita ng susunod na tagasuri kung ano ang nagbago at hindi kung ano ang nilayon.

Patunayan at panatilihin ang labasan

Subukan ang aprubadong application mula sa tunay na proseso at konteksto ng gumagamit, hindi mula sa shell ng administrador sa parehong makina. Pagkatapos ay tiyakin na ang walang kaugnayang destinasyon ay nananatiling hindi maabot kung saan hinihiling ito ng disenyo: ang hangganang walang sumubok ay hangganang walang makapag-aangkin. Ang pagdiskonekta sa personal na tunnel ay dapat magbalik ng dating kalagayan, at ang pagbabalik na iyon ay sulit suriin habang may nanonood pa.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Ang patnubay ng NIST tungkol sa arkitekturang zero-trust ay kapaki-pakinabang dito dahil inaalis nito ang lokasyon sa network bilang awtomatikong pinagmumulan ng tiwala, at iyon mismo ang palagay na pinagtatalunan. Ang tanong ay hindi kung mapagkakatiwalaan ang network sa bahay ayon sa kalikasan; ito ay kung sino ang makakaabot sa aling mapagkukunan, mula sa aling dulo, at sa pamamagitan ng aling punto ng pagpapatupad. Sagutin ang tatlong iyon, at itago ang ebidensya kasama ng pasya.