Ortakları Birleştirmeden Ortak VPN Erişimini Merkezileştirin

Öneri makul: bir düzine dizüstü bilgisayara yayılmış beş ortak tüneli, beş istemci sürümü seti, beş yardım masası betiği ve bunların nasıl birbirine uyduğunu bilen bir mühendis. Bunları kontrollü bir erişim katmanına taşımak uç nokta dağınıklığını giderir. Aynı zamanda mimarinizde yeni bir nesne yaratır — artık kendi yetkilendirme modeline ihtiyaç duyan paylaşılan bir erişim hizmeti; ve herkesin küçümsediği başarısızlık, tüm tünelleri açık bir merkezi cihazın sessizce, komşu olmayı hiç kabul etmemiş kuruluşlar arasında bir geçiş ağına dönüşmesidir. Bu risk bir tasarım tercihidir, donanımın kendi başına yaptığı bir şey değildir. Aşağıdaki çalışma, istemeden ortaya çıkan yan etkiyi kabul etmeden kolaylığı koruma yöntemimdir.

Her ortağın zaten imzaladığı sözleşmeden başlayın

Herhangi bir yapılandırmadan önce, ortağın paylaşılan bir ağ geçidine veya site bağlantısına hiç izin verip vermediğini doğrulayın. Kişisel bir uzaktan erişim hesabı, bir cihaz duruşu gereksinimi veya etkileşimli bir MFA akışı, başında kimse olmayan paylaşılan bir tünele aktarılamayabilir ve çalışanları tek bir kopyalanmış istemci kimliğinin arkasında toplamak, ortak günlüklerini denetleyene kadar dayanan türden bir kısayoldur. İzin verilen her bağlantı için hedef aralıklarını, özel DNS alanlarını, yetkili iç kaynakları, kimlik doğrulamanın sahibini ve tünel başarısız olduğunda ne olması gerektiğini kaydedin. Ortağın paylaşılan bağlantıyı, kabul edecekleri kaynak aralıkları dahil, yazılı olarak doğrulamasını isteyin. Sözlü onay genellikle güvenlik ekiplerinin değiştiği hafta anlam değiştirir.

O kayıt teslimattır. Bir ortak için bunu yazamıyorsanız, o ortak merkezileştirilmeye hazır değildir.

Yalnızca hedefe göre değil, bağlama göre yönlendirin

Her kuruluş aynı RFC 1918 uzayından seçtiği için iki ortak sonunda aynı özel aralığı kullanacaktır. Tek bir sıradan yönlendirme tablosu doğru ortağı yalnızca hedef adresinden seçemez, bu yüzden çakışan aralıklar ayrı yönlendirme bağlamlarına veya başka bir üzerinde anlaşılmış tasarıma ihtiyaç duyar. RFC 4364 içindeki yönlendirme alanı modeli bu ayrımın neden önemli olduğunu açıklar ve bir kurulum, ağ geçidi platformundan aynı özelliği talep etmek için MPLS çalıştırmak zorunda değildir.

Platforma doğrudan bir soru sorun: iki ortak aynı hedef önekini paylaşıp yine de oturumun hangi çalışan bağlamından geldiğine göre ayırt edilebilir mi? Yanıt hayırsa, bu kısıt tasarımı herhangi bir satıcı özellik listesinden daha fazla şekillendirir.

Yanıtın evet olduğu yerde, yönlendirme bağlamı belgelediğiniz ve test ettiğiniz şey haline gelir, çünkü traceroute içinde görünmez.

Çalışanın ne yazdığına ve ortağın ne kaydettiğine karar verin

Ortak işinin bir kısmı bir uygulama proxy'sine veya o ortağın bağlamı içinde açılan uzak bir çalışma alanına uyar. Diğer işler onaylanmış bir çalışan segmentinden yönlendirilmiş ağ erişimi gerektirir ve ikisi uzak uçta farklı kaynak adresler ve farklı denetim izleri üretir. Paylaşılan çevrilmiş bir kaynak adresi, bir izin listesini karşılarken hangi cihazın ne yaptığını gizleyebilir, bu yüzden çalışan ile oturum arasında güvenilir bir kayıt tutun ve ağ geçidi adresini kimlik olarak görmek yerine uygulama kimlik doğrulamasını koruyun — bu, ortak kimin yaptığını sorana kadar kullanışlıdır.

Sonra çalışan tarafından gerçek bir görevi yürüyün: neye tıklıyorlar, onlardan ne isteniyor ve ortak bir günlük kaydı isteseydi ne görürdü. Bu yürüyüş yeniden üretilemiyorsa tasarım bitmemiştir.

Ortaklar arası geçişi açıkça reddedin

Paylaşılan donanım hiçbir zaman paylaşılan güven anlamına gelmemelidir. Reddi, eksik yapılandırmanın kazası olarak değil, adı belirtilmiş bir sahibi olan bilinçli bir kural olarak ekleyin ve aksi halde başarılı olacak bir istekle iki yönden test edin. Test önemlidir çünkü yalnızca eksik olan bir izin, ilgisiz bir şikâyeti düzeltmek için rota ekleyen bir sonraki mühendis tarafından geri getirilebilir.

Reddi izinlerin yanına ortak kaydına yazın, böylece niyet personel değişimlerini atlatsın.

Daha büyük bir dizüstü bilgisayar olarak değil, paylaşılan bir hizmet olarak işletin

Tünel yenileme, kimlik bilgisi rotasyonu, kapasite ve ağ geçidi değişimi artık hepsi paylaşılan hizmet değişiklikleri haline geliyor, bu da bireysel dizüstü bilgisayarların hiç ihtiyaç duymadığı bir takvime ve iletişim yoluna ihtiyaçları olduğu anlamına gelir. Bir ortağın sertifikasının cumartesi günü sona ermesi artık tek bir kullanıcının kesintisi değil; o ortağın tüm oturumlarının aynı anda kesintisidir.

Katmanı yalnızca reddedilen ortaklar arası istek tam olarak amaçlandığı gibi başarısız olduğunda ve izin verilen çalışan isteği doğru kaynakla doğru hedefe ulaştığında kabul edin. Her ortağın sınırını bozmadan dizüstü bilgisayar çakışmasını ortadan kaldırmak işin bütün amacıdır; her uzak önekin her masadan erişilebilir olduğu bir tasarım sorunu yalnızca taşımıştır.

Ortak, bağlam, izin verilen aralıklar ve sahibinden oluşan küçük bir tablo tutun. Bir olay sırasında herkesin ilk isteyeceği şey o olacaktır.