Kişisel VPN üzerinde iş dizüstü: gerçekte ne geçiyor

İş dizüstünde ikinci bir tünel köprü değildir, ama uç nokta yine de veri aktarabilir. Herhangi bir şeyi onaylamadan önce üç geçiş noktasını inceleyin.

Şirket dizüstünü ev VPN'ine bağlamak, onu aynı anda iki yere yerleştirir ve ilginç soru, endişe verici olandan daha küçük ve daha faydalıdır. Kimse ofis ile ev arasına Ethernet kablosu çekmedi ve hiçbir yol ev ağını kurumsal alt ağın uzantısı yapmaz. Var olan şey, her iki ortama da erişimi olan tek bir uç noktadır ve aralarında gerçekte neyin hareket edebileceğine üç ayrı mekanizma karar verir. Bu üçünü uç noktadan dışarı doğru yürümek, etiketler hakkında bir tartışma yerine yöneticinin üzerine gidebileceği bir yanıt üretir.

Ağ şemasından değil, uç noktadan başlayın

Uç nokta, iki bağlantının buluştuğu yerdir, dolayısıyla inceleme orada başlar: hangi süreçler çalışıyor, neye ulaşabiliyorlar ve onları kim kontrol ediyor. Bir dizüstüne bağlı iki bulutu gösteren şema doğru ve işe yaramazdır, çünkü var olmayabilecek bir bağlantı ima eder. Onu her ortamla konuşabilen uygulamaların listesiyle değiştirin ve her birinin hangi hesap altında çalıştığını not edin. Bu çerçeve incelemeyi orantılı da tutar, çünkü iki tünelli bir dizüstü, birleştirilmiş iki ağ ile aynı nesne değildir.

O liste, incelemenin geri kalanının üzerinde çalıştığı envanterdir. İçinde bir eşitleme istemcisi, her iki ortamda oturum açmış bir tarayıcı profili ve kimlik bilgileri olan bir derleme aracısı varsa, incelemenin konuları zaten vardır.

Üç geçiş noktası, ayrı ayrı incelenir

Uygulama erişimi ilk geçiş noktasıdır ve herhangi bir yönlendirme gerektirmez. Uç noktadaki bir tarayıcı sekmesi, eşitleme istemcisi veya derleme aracısı bir ortamdaki kaynaktan okuyup diğer ortamdaki kaynağa veri gönderebilir. Bu yetenek, işletim sisteminin arayüzler arasında paket yönlendirip yönlendirmemesinden bağımsız olarak vardır ve insanların köprü yoksa risk de yoktur sonucuna vardığında gözden kaçırdığı mekanizma tam olarak budur. Bu nedenle uygulama listesini okumak, arayüz listesini okumaktan daha bilgilendiricidir.

Kimlik ve veri ikinci geçiş noktasını oluşturur. Kurumsal kimlik bilgileri, oturum çerezleri, indirilen belgeler ve yönetim hakları uç noktada yaşar ve başka bir ağa katılmak bunları kendiliğinden açığa çıkarmaz. Değişen şey, uç nokta bu kimlik bilgilerini tutarken onu etkileyebilecek taraflar kümesidir ve bu yönlendirme değil, kişisel ağın güvenilirliği hakkında bir sorudur. Bu, uç nokta sahibinin tek başına veremeyeceği bir yargıdır ve yönlendirme kuralının yokluğu buna yanıt değildir.

Ağ yönlendirmesi üçüncüsüdür ve dizüstünü geçiş aygıtına dönüştürebilecek tek şeydir. IP yönlendirmesi, internet bağlantısı paylaşımı, bir vekil sunucu veya köprüleme özelliği bunu yapabilir ve her biri açık ya da kapalı olan bir yapılandırmadır. Bu durumu VPN istemcisinin varlığından çıkarsamak yerine doğrudan inceleyin. Yönetilen bir makinede yanıt genellikle hayırdır ve doğrulamak bir varsayımı kayda değer bir olguya dönüştürür.

İki ağ değil, tek bir kaynak isteyin

Gerçek gereksinimlerin çoğu ilk göründüğünden dardır: bir konsol, bir dosya paylaşımı, bir iç web uygulaması. Gereksinimi böyle ifade edin ve kaynağın sahibi bu uç noktaya ait olup olmadığına karar versin. İki ağın birleştirilmesi olarak çerçevelenmiş bir talep onaylanması zor ve reddedilmesi kolaydır; adlandırılmış tek bir hizmet talebinin bir yanıtı vardır.

Yanıt evet ise, desteklenen en dar yolu tercih edin ve kuruluşun mevcut kontrolleri içinde tutun. Yönetilen ikinci profil veya kapsamı sınırlı uygulama girdisi izleme ve politikayı korur; rakip kişisel yapılandırma onları sessizce değiştirir ve bir sonraki güncellemeden sonra hangisinin kazandığını kimse bilmez.

DNS ve rota etkilerini dahil edin

Ad çözümlemesi, ikinci profil etkin olduğu anda değişir. Kişisel bir istemci kendi çözümleyicisini dayatabilir, tarayıcı kendi şifreli DNS'ini kullanabilir ve politika tablosu iç adları kurumsal yapılandırmanın beklediğinden farklı bir sunucuya yönlendirebilir. Bunların hiçbiri yönlendirme gerektirmez ve herhangi biri iç ana makine adını yanlış yere gönderebilir.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

İkinci profil bağlanmadan önce ve sonra bu üç çıktıyı yakalayın. Aralarındaki fark, kullanıcıya gerçekten ulaşan etkidir ve genellikle biletin tanımladığı yönlendirme değişikliğinden daha büyüktür. Her iki kaydı da saklayın ki sonraki bir gözden geçiren neyin değiştiğini görsün, neyin amaçlandığını değil.

Doğrulayın ve bir çıkış yolu bırakın

Onaylanan uygulamayı aynı makinedeki yönetici kabuğundan değil, gerçek süreç ve kullanıcı bağlamından test edin. Ardından tasarımın gerektirdiği yerlerde ilgisiz hedeflerin erişilemez kaldığını doğrulayın: kimsenin test etmediği bir sınır, kimsenin dayanamayacağı bir sınırdır. Kişisel tünelin bağlantısını kesmek önceki durumu geri getirmelidir ve bu geri getirme, biri hâlâ bakarken kontrol edilmeye değer.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST'in sıfır güven mimarisi konusundaki rehberliği burada faydalıdır çünkü ağ konumunu otomatik bir güven kaynağı olmaktan çıkarır ve tartışılan varsayım tam olarak budur. Soru, ev ağının doğası gereği güvenilir olup olmadığı değil; kimin hangi kaynağa, hangi uç noktadan ve hangi uygulama noktasından ulaşabildiğidir. Bu üçüne yanıt verin ve kanıtları kararla birlikte saklayın.

İlgili makaleler