چھوٹے دفتر کا VPN: اسے ڈومین کنٹرولر سے دور رکھیں

دفتر کا واحد Windows سرور VPN بھی ختم کرے یا نہیں، یہ تین شرطیں طے کرتی ہیں: ڈائریکٹری پر آپ کتنا انٹرنیٹ کی طرف سافٹ ویئر چلانے کو تیار ہیں، کیا آپ اس کردار کے بغیر دور دراز صارفین کی تصدیق کر سکتے ہیں، اور جب ہوسٹ دوبارہ شروع ہو تو آپ کی انتظامی رسائی کا کیا ہوتا ہے۔ اگر تینوں میں سے کسی کا جواب بھی برا ہو تو کردار الگ کریں۔ دفتر کا چھوٹا ہونا بجٹ بدلتا ہے، خطرہ نہیں۔

ڈومین کی ہر مشین ڈومین کنٹرولر پر بھروسہ کرتی ہے؛ VPN گیٹ وے تک انٹرنیٹ پر کوئی بھی پہنچ سکتا ہے۔ یہی عدم توازن پوری دلیل ہے۔

مختلف نمائش پروفائل والے دو کام

گیٹ وے باہر سے کنکشن قبول کرتا ہے، اس لیے اس کا سننے والا، TLS اسٹیک اور تصدیق کی سطح سب غیر قابل اعتماد نیٹ ورک سے قابل رسائی ہیں۔ ڈائریکٹری کے پاس وہ اختیار ہے جس پر دوسری مشینیں بھروسہ کرتی ہیں، اسی لیے Microsoft کی سختی کی رہنمائی ڈومین کنٹرولر کے کردار اور اس کے ہوسٹنگ ماحول کو خاص طور پر حساس سمجھتی ہے۔ اس ہوسٹ پر شامل ہر سروس ڈائریکٹری کی بھروسے کی حیثیت ورثے میں لیتی ہے اور اپنی حملہ سطح شامل کرتی ہے۔ تنصیب کی سہولت بھروسے کی حد نہیں۔

کردار الگ کرنے سے انحصار ختم نہیں ہوتا۔ دور دراز صارفین کو اب بھی تصدیق، راستے، DNS اور رسائی قواعد درکار ہیں، اور انہیں نظر انداز کرنے والا گیٹ وے زیادہ محفوظ نہیں، صرف کم کارآمد ہے۔

ڈائریکٹری کردار کے بغیر تصدیق

گیٹ وے معاون بیرونی انضمام کے ذریعے ڈائریکٹری کو خود ہوسٹ کیے بغیر اسناد کی توثیق کر سکتا ہے۔ وہ انضمام جو بھی ہو، اسے مقصد کے مطابق حقوق والا اکاؤنٹ دیں: تصدیق کے لیے درکار خصوصیات پڑھنا، اس سے زیادہ نہیں۔ VPN صارفین کو قبول کرنا کبھی ان کے عام اکاؤنٹس کو ڈومین منتظمین بنانے کا تقاضا نہیں کرتا، اور کبھی گیٹ وے کے پاس ڈائریکٹری کی نقل رکھنے کا تقاضا نہیں کرتا۔

پھر دور دراز کلائنٹ کو حقیقتاً درکار نیٹ ورک راستوں کو محدود کریں۔ ایک داخلی فائل سروس تک رسائی، نیز وہ نام حل اور شناخت کی خدمات جن پر یہ ورک فلو منحصر ہے، راستوں کا ایک متعین مجموعہ ہیں۔ یہ VPN پول سے ہر ڈومین کنٹرولر پورٹ یا ہر انتظامی انٹرفیس کی اجازت دینے کی وجہ نہیں۔

ایک ہوسٹ اب بھی ایک ناکامی ڈومین ہے

ایک ہائپر وائزر پر دو مہمان اپنی آپریٹنگ سسٹم ترتیب الگ کرتے ہیں اور اپنی قسمت الگ نہیں کرتے۔ ہائپر وائزر کے منتظمین، مجازی سوئچنگ، اسٹوریج اور بیک اپ ڈیزائن کا حصہ رہتے ہیں، اور ہوسٹ کا دوبارہ آغاز دونوں سروسز یکبارگی ہٹا دیتا ہے۔ خاکے میں دو VM دکھنے کی وجہ سے اسے اعلیٰ دستیابی کہنا عام اور مہنگی غلطی ہے۔ اگر واپسی کا واحد راستہ اسی ہوسٹ کے VPN سے گزرتا ہے، تو ناکامی اسے درست کرنے کے لیے درکار کنکشن چھین لیتی ہے۔

اس لیے سرنگ پر منحصر نہ ہونے والا خودمختار انتظامی راستہ وضع کریں، اور لکھیں کہ دیکھ بھال کے دوران کیا دستیاب رہتا ہے۔ گیٹ وے کی تازہ کاری اور ڈائریکٹری کی دیکھ بھال الگ الگ شیڈول کریں، اور نوٹ کریں کہ ہر تعطل کون سے صارفین یا ایپلیکیشنز کو چھوتا ہے۔

دیکھ بھال کی وہ ونڈو جو VPN کی مرمت کے لیے VPN کے فعال ہونے کا تقاضا کرتی ہے، دیکھ بھال کی ونڈو نہیں۔

باہر تالا لگائے بغیر اسے منتقل کریں

اگر کردار پہلے ہی ایک تنصیب کا اشتراک کرتے ہیں تو جلدبازی والی دور دراز منتقلی سے بچیں۔ گیٹ وے کے پاس آج کیا ہے اس کی فہرست بنائیں: پتے، فارورڈنگ قواعد، NAT، DNS ترتیبات، تصدیق کی ترتیب اور کوئی بھی شائع شدہ سروس۔ سننے والے کو منتقل کرنے یا ڈیفالٹ راستہ بدلنے سے پہلے متبادل اور واپسی کا راستہ دونوں تیار کریں۔ پھر نئی حد سے ایک عام دور دراز صارف کے حقیقی کام کی جانچ کریں، اور تصدیق کریں کہ غیر ضروری انتظامی رسائی اب بھی ناکام ہوتی ہے۔

ہدف خوبصورت خاکہ نہیں۔ پورے دفتر کے لیے ڈائریکٹری بھروسے کو لنگر کرنے والے باکس کو چھوئے بغیر VPN کی مرمت یا تعمیر نو کی صلاحیت ہے۔ یہ مختلف اہداف ہیں، اور ان میں سے صرف ایک کو دوسرا سرور درکار ہے۔

فیصلہ کسی بھی صورت میں درج کریں، ان شرطوں سمیت جو اسے دوبارہ کھول سکتی ہیں۔ چھوٹا دفتر بڑھتا ہے، اور ایک سرور پر فٹ بیٹھا جواب اگلے پر نہ بیٹھ سکے۔