Küçük ofis VPN'i: onu etki alanı denetleyicisinden uzak tutun

Ofisin tek Windows sunucusunun VPN'i de sonlandırıp sonlandırmayacağına üç koşul karar verir: dizinde internetle yüzleşen ne kadar yazılım çalıştırmaya razısınız, uzaktaki kullanıcıları o rol olmadan kimlik doğrulayabiliyor musunuz ve ana makine yeniden başladığında yönetim erişiminize ne oluyor. Üçünden herhangi birinin yanıtı kötüyse rolleri ayırın. Ofisin küçük olması bütçeyi değiştirir, riski değil.

Etki alanındaki her makine bir etki alanı denetleyicisine güvenir; VPN ağ geçidine internetteki herkes ulaşabilir. Bu asimetri bütün argümandır.

İki farklı maruz kalma profiline sahip iki iş

Ağ geçidi dışarıdan bağlantı kabul eder, bu nedenle dinleyicisi, TLS yığını ve kimlik doğrulama yüzeyi güvenilmeyen ağlardan erişilebilir. Dizin, diğer makinelerin güvendiği bir yetki taşır, bu yüzden Microsoft'un sertleştirme kılavuzu etki alanı denetleyicisi rolünü ve barındırma ortamını özellikle hassas görür. Bu ana makineye eklenen her hizmet, dizinin güven konumunu devralırken kendi saldırı yüzeyini ekler. Kurulum kolaylığı bir güven sınırı değildir.

Rolleri ayırmak bağımlılıkları ortadan kaldırmaz. Uzaktaki kullanıcılar hâlâ kimlik doğrulama, rotalar, DNS ve erişim kurallarına ihtiyaç duyar ve bunları atlayan bir ağ geçidi daha güvenli değil, yalnızca daha az kullanışlıdır.

Dizin rolü olmadan kimlik doğrulama

Bir ağ geçidi, desteklenen bir dış entegrasyon aracılığıyla dizinin kendisini barındırmadan kimlik bilgilerini doğrulayabilir. O entegrasyon ne olursa olsun, ona amaca uygun haklara sahip bir hesap verin: kimlik doğrulama için gereken öznitelikleri okumak, fazlası değil. VPN kullanıcılarını kabul etmek, onların sıradan hesaplarını etki alanı yöneticisi yapmayı hiçbir zaman gerektirmez ve ağ geçidinin dizinin bir kopyasını tutmasını hiçbir zaman gerektirmez.

Ardından uzak istemcinin gerçekten ihtiyaç duyduğu ağ yollarını sınırlayın. Tek bir iç dosya hizmetine erişim ve o iş akışının bağlı olduğu ad çözümleme ile kimlik hizmetleri, tanımlanmış bir yol kümesidir. Bu, VPN havuzundan her etki alanı denetleyicisi bağlantı noktasına veya her yönetim arayüzüne izin vermek için bir neden değildir.

Bir ana makine hâlâ bir arıza alanıdır

Tek bir hipervizördeki iki konuk, işletim sistemi yapılandırmalarını ayırır ama kaderlerini ayırmaz. Hipervizörün yöneticileri, sanal anahtarlama, depolama ve yedekler tasarımın parçası olarak kalır ve ana makinenin yeniden başlatılması iki hizmeti birden ortadan kaldırır. Şema iki VM gösterdiği için buna yüksek kullanılabilirlik demek yaygın ve pahalı bir hatadır. Geri dönüşün tek yolu o ana makinedeki VPN'den geçiyorsa, bir arıza onu onarmak için gereken bağlantıyı alır.

Bu yüzden tünele bağlı olmayan bağımsız bir yönetim yolu planlayın ve bakım sırasında nelerin erişilebilir kaldığını yazın. Ağ geçidi güncellemelerini ve dizin bakımını ayrı ayrı planlayın, her kesintinin hangi kullanıcıları veya uygulamaları etkilediğini not edin.

VPN'i onarmak için VPN'in açık olmasını gerektiren bir bakım penceresi bakım penceresi değildir.

Kendinizi dışarıda bırakmadan taşıyın

Roller zaten tek bir kurulumu paylaşıyorsa aceleci bir uzaktan geçişten kaçının. Ağ geçidinin bugün sahip olduklarını envanterleyin: adresler, yönlendirme kuralları, NAT, DNS ayarları, kimlik doğrulama yapılandırması ve yayımlanmış hizmetler. Dinleyiciyi taşımadan veya varsayılan rotayı değiştirmeden önce hem yerine koymayı hem de geri dönüş yolunu hazırlayın. Ardından sıradan bir uzak kullanıcının gerçek işini yeni sınır üzerinden test edin ve gereksiz yönetim erişiminin hâlâ başarısız olduğunu doğrulayın.

Amaç daha güzel bir şema değil. Tüm ofis için dizin güvenini sabitleyen kutuyu dokunmadan VPN'i onarma veya yeniden kurma yeteneğidir. Bunlar farklı hedeflerdir ve yalnızca biri ikinci bir sunucuya ihtiyaç duyar.

Kararı ne olursa olsun kaydedin, onu yeniden açacak koşullar dahil. Küçük bir ofis büyür ve tek bir sunucuya uyan yanıt bir sonrakine uymayabilir.