Kichik ofis VPN: uni domen boshqaruvchisidan uzoq tuting

Ofisning yagona Windows serveri VPN-ni ham tugatishi kerakmi, buni uch shart hal qiladi: katalogda internetga qaragan qancha dasturiy ta'minotni ishga tushirishga tayyorsiz, o'sha rolsiz masofaviy foydalanuvchilarni autentifikatsiya qila olasizmi va host qayta ishga tushganda boshqaruv kirishingizga nima bo'ladi. Uchtadan birortasining javobi yomon bo'lsa, rollarni ajrating. Ofisning kichikligi byudjetni o'zgartiradi, xavfni emas.

Domenning har bir mashinasi domen boshqaruvchisiga ishonadi; VPN shlyuziga internetdagi har kim yeta oladi. Bu assimetriya butun dalil.

Ikki xil ta'sir profilli ikki ish

Shlyuz tashqaridan ulanishlarni qabul qiladi, shuning uchun uning tinglovchisi, TLS steki va autentifikatsiya yuzasi ishonchsiz tarmoqlardan yetib boriladi. Katalog boshqa mashinalar ishonadigan vakolatni saqlaydi, shuning uchun Microsoft-ning qattiqlashtirish yo'riqnomasi domen boshqaruvchisi rolini va uning hosting muhitini alohida sezgir deb biladi. Bu hostga qo'shilgan har bir xizmat katalogning ishonch mavqeini meros oladi va o'z hujum yuzasini qo'shadi. O'rnatish qulayligi ishonch chegarasi emas.

Rollarni ajratish bog'liqliklarni yo'q qilmaydi. Masofaviy foydalanuvchilarga hali ham autentifikatsiya, marshrutlar, DNS va kirish qoidalari kerak, ularni chetlab o'tadigan shlyuz esa xavfsizroq emas, faqat kamroq foydali.

Katalog rolisiz autentifikatsiya

Shlyuz qo'llab-quvvatlanadigan tashqi integratsiya orqali katalogning o'zini hosting qilmasdan hisob ma'lumotlarini tekshira oladi. Bu integratsiya nima bo'lishidan qat'i nazar, unga maqsadga mos huquqlarga ega hisob bering: autentifikatsiya uchun zarur atributlarni o'qish, ortiq emas. VPN foydalanuvchilarini qabul qilish hech qachon ularning oddiy hisoblari domen administratori bo'lishini talab qilmaydi va hech qachon shlyuz katalog nusxasini saqlashini talab qilmaydi.

Keyin masofaviy mijozga haqiqatan kerak bo'lgan tarmoq yo'llarini cheklang. Bitta ichki fayl xizmatiga kirish, shuningdek bu ish oqimi bog'liq bo'lgan nom hal qilish va identifikatsiya xizmatlari — belgilangan yo'llar to'plami. Bu VPN hovuzidan har bir domen boshqaruvchisi portiga yoki har bir ma'muriy interfeysga ruxsat berish uchun sabab emas.

Bitta host hali ham bitta nosozlik domeni

Bitta gipervizardagi ikki mehmon operatsion tizim konfiguratsiyasini ajratadi, taqdirini ajratmaydi. Gipervizard administratorlari, virtual kommutatsiya, saqlash va zaxira nusxalari dizaynning bir qismi bo'lib qoladi va host qayta ishga tushganda ikkala xizmat birdan olib tashlanadi. Diagrammada ikki VM ko'ringani uchun buni yuqori mavjudlik deb atash keng tarqalgan va qimmat xato. Agar qaytishning yagona yo'li o'sha hostdagi VPN orqali o'tsa, nosozlik uni tuzatish uchun kerakli ulanishni olib qo'yadi.

Shuning uchun tunnelga bog'liq bo'lmagan mustaqil boshqaruv yo'lini rejalashtiring va texnik xizmat vaqtida nima mavjudligini yozib qo'ying. Shlyuz yangilanishlari va katalog xizmatini alohida rejalashtiring, har bir uzilish qaysi foydalanuvchilar yoki ilovalarga tegishini belgilang.

VPN-ni tuzatish uchun VPN yoniq bo'lishini talab qiladigan texnik xizmat oynasi texnik xizmat oynasi emas.

O'zingizni tashqarida qulflamasdan ko'chiring

Agar rollar allaqachon bitta o'rnatishni bo'lishsa, shoshilinch masofaviy migratsiyadan saqlaning. Shlyuz bugun nimaga egalik qilishini ro'yxatga oling: manzillar, yo'naltirish qoidalari, NAT, DNS sozlamalari, autentifikatsiya konfiguratsiyasi va e'lon qilingan xizmatlar. Tinglovchini ko'chirish yoki standart marshrutni o'zgartirishdan oldin ham o'rinbosarni, ham qaytish yo'lini tayyorlang. So'ngra yangi chegara orqali oddiy masofaviy foydalanuvchining haqiqiy ishini sinab ko'ring va keraksiz ma'muriy kirish hali ham muvaffaqiyatsiz bo'lishini tasdiqlang.

Maqsad chiroyliroq diagramma emas. Bu butun ofis uchun katalog ishonchini bog'laydigan qutiga tegmasdan VPN-ni tuzatish yoki qayta qurish qobiliyati. Bular turli maqsadlar va ulardan faqat bittasi ikkinchi serverga muhtoj.

Qarorni har holda yozib qo'ying, uni qayta ochadigan shartlar bilan birga. Kichik ofis o'sadi, bitta serverga mos javob keyingisiga to'g'ri kelmasligi mumkin.