Müşteri VPN erişimi: ayrıcalıklı işe kendi cihazını verin

Bağlantı profili Production diyor, tünel açılıyor ve masaüstündeki her pencere artık müşterinin sistemlerine erişebiliyor. Bu dizide hiçbir şey ayrıcalıklı oturumu yanındaki tarayıcı sekmesinden ayırmadı. VPN profili bir ad ve bir dizi yoldur; gerçekte önemsediğiniz sınır cihaz kimliğinden, denetlenen bir yürütme ortamından ve bir kimlik bilgisi yolundan inşa edilir. Bu üçü farklı yerlerde uygulanır, bu yüzden birini ekleyip diğerlerini atlamak uyumlu görünen ama olmayan bir tasarım üretir.

Profil adı bir sınır değildir

İstemci, tünel açıldığında yolları ve DNS yapılandırmasını uygular ve ardından o makinede çalışan her şey ikisini de devralır.

Açılır listedeki bir ad, operatörün neyi tanıdığını değiştirir, işletim sisteminin neye izin verdiğini değil.

Ağ geçidinin denetleyebildiği şey cihaz kimliğidir

Cihaz sertifikalarını veya durum denetimlerini destekleyen bir ağ geçidi, makineyi ve kişiyi birlikte doğrular. Birinin parola yazmasından önce yönetilmeyen bir dizüstü bilgisayardan gelen bağlantıyı reddedebilen katman budur. Bir cihaz kaybolduğunda iptal edilecek somut bir şey de verir. Bir sertifikayı üç makineye kopyalamak tam olarak bu özelliği ortadan kaldırır, bu yüzden sertifikanın yaşam döngüsü paylaşılan bir klasöre değil anlaşmaya aittir.

Politikasının hangi denetimleri gerektirdiğine müşteri karar verir ve bir tedarikçinin yaptığı sanal makine durum denetimini hiç karşılamayabilir.

Sanal makine sınırı nerede sızdırır

Bir sanal makine müşterinin araçlarını ve ağ durumunu bir arada tutar ve bu gerçekten yararlıdır. Ancak ana makinesine ve hipervizöre de bağlıdır, birçok kolaylık sınırı aşar: paylaşılan klasörler, pano tümleştirmesi, kimlik bilgisi aracıları ve ana makine düzeyinde yönetim erişimi. Günlük kullanılan bir ana makinedeki ayrıcalıklı konuk bağımsız olarak güvenilir değildir, çünkü ana makine konuğun ne yaptığını gözlemleyebilir. Sanal makineyi maruziyeti azaltan bir denetim olarak görün, ayrı bir güvenlik alanı olarak değil.

Adanmış bir fiziksel cihaz ana makine bağımlılığını kaldırır ve yerine bir bakım yükümlülüğü ekler.

Kimlik bilgileri ve aktarım yolları

Her mühendis ve her müşteri için bireysel, iptal edilebilir kimlikler kullanın ve bunları kişisel tarayıcı profillerinden ve sohbet geçmişinden uzak tutun. Tüm ekibin paylaştığı kimlik bilgileri temiz biçimde atfedilemez, döndürülemez veya iptal edilemez. Araçlar, dosyalar ve tanılama çıktısı için aktarım yolunu ilk oturumdan önce belirleyin, çünkü dosyaların gelişigüzel taşınması bir sınırın sessizce sınır olmaktan çıkmasının yoludur. Aynı anda iki müşteriye ulaşılması gerekiyorsa önce ağ ve kimlik ayrımını onaylatın.

İki müşteri ağını, o öğleden sonra kolay geldi diye tek bir iş istasyonundan asla köprülemeyin.

Bunu tekrarlanabilir kılan anlaşma

Her müşteri için kısa bir kayıt yazın ve iki tarafın da bulabileceği bir yerde saklayın. Onaylanan cihazı veya uzak ortamı ve onun bakımını kimin yaptığını, izin verilen kimlikleri, erişebilecekleri sistemleri ve işlemleri, aktarım yolunu ve bir oturumun bitmesinin olağan yolunu adlandırmalıdır.

Bir kişi işe girdiğinde veya ayrıldığında birinin gözden geçirdiği beş satır, kimsenin uygulayamadığı bir politikadan iyidir:

• Onaylanan cihaz veya uzak ortam, adlandırılmış bir bakım sahibiyle.
• Destek için izin verilen bireysel kullanıcı ve cihaz kimlikleri.
• Bu kimliklerin erişebileceği sistemler ve işlemler.
• Araçlar, dosyalar ve tanılama çıktısı için izin verilen yol.
• Oturumu bitirme süreci ve yetkili bir acil durum alternatifi.

Kimlik bilgilerini taşımadan acil erişim

Bir denetim acil bir onarımı engellediğinde yol istisna sürecidir, aynı kimlik bilgilerini taşıyan ikinci bir dizüstü bilgisayar değil. Onaylanan istisna kimin yetkilendirdiğini, neyin gevşetildiğini ve ne zaman biteceğini kaydeder. Bir kimlik bilgisini günlük kullanılan bir makineye taşımak sınırı mümkün olan en kötü anda değiştirir ve genellikle sonrasında da değişmiş kalır. Acil yol, hiçbir şey bozuk değilken bir prova hak eder.

Sonra oturumu anlaşmanın söylediği gibi bitirin ve erişimin gerçekten durduğunu doğrulayın.