Shaxsiy VPN-dagi ish noutbuki: aslida nima o'tadi

Kompaniya noutbukini uy VPN-iga ulash uni bir vaqtning o'zida ikki joyga qo'yadi, va qiziqarli savol xavotirli savoldan kichikroq va foydaliroq. Hech kim ofis va uy o'rtasida Ethernet kabel yotqizmagan, va hech qanday marshrut uy tarmog'ini korporativ quyi tarmoqning kengaytmasiga aylantirmaydi. Mavjud narsa ikkala muhitga ham kirish imkoni bo'lgan yagona oxirgi nuqta, va ular o'rtasida aslida nima harakatlanishi mumkinligini uchta alohida mexanizm hal qiladi. Shu uchtasini oxirgi nuqtadan tashqariga qarab o'tish yorliqlar haqidagi bahs o'rniga administrator amal qilishi mumkin bo'lgan javob beradi.

Tarmoq sxemasidan emas, oxirgi nuqtadan boshlang

Oxirgi nuqta ikkala ulanish uchrashadigan joy, shuning uchun ko'rib chiqish shu yerdan boshlanadi: qaysi jarayonlar ishlaydi, ular nimaga yeta oladi va ularni kim boshqaradi. Noutbukka ulangan ikki bulutni ko'rsatuvchi sxema aniq va foydasiz, chunki u mavjud bo'lmasligi mumkin bo'lgan aloqani ko'rsatadi. Uning o'rniga har bir muhit bilan gaplasha oladigan ilovalar ro'yxatini qo'ying va har biri qaysi hisob ostida ishlashini yozib qo'ying. Bu ramka ko'rib chiqishni mutanosib ham saqlaydi, chunki ikki tunnelli noutbuk ulangan ikki tarmoq bilan bir xil obyekt emas.

Bu ro'yxat qolgan ko'rib chiqish ishlaydigan inventar. Agar unda sinxronizatsiya mijozi, ikkala muhitga kirgan brauzer profili va hisob ma'lumotlariga ega yig'ish agenti bo'lsa, ko'rib chiqishning mavzulari allaqachon bor.

Uchta o'tish nuqtasi, alohida ko'rib chiqilgan

Ilovalar kirishi birinchi o'tish nuqtasi va u hech qanday yo'naltirishni talab qilmaydi. Oxirgi nuqtadagi brauzer varaqasi, sinxronizatsiya mijozi yoki yig'ish agenti bir muhitdagi resursdan o'qib, boshqa muhitdagi resursga ma'lumot yuborishi mumkin. Bu qobiliyat operatsion tizim interfeyslar orasida paketlarni yo'naltirishidan qat'i nazar mavjud, va odamlar ko'prik yo'q bo'lsa xavf ham yo'q degan xulosaga kelganda e'tibordan chetda qoldiradigan mexanizm aynan shu. Shuning uchun interfeyslar ro'yxatini o'qishdan ko'ra ilovalar ro'yxatini o'qish ko'proq ma'lumot beradi.

Shaxs va ma'lumotlar ikkinchi o'tish nuqtasini tashkil qiladi. Korporativ hisob ma'lumotlari, sessiya cookie fayllari, yuklab olingan hujjatlar va boshqaruv huquqlari oxirgi nuqtada yashaydi, va boshqa tarmoqqa qo'shilish ularni o'z-o'zidan oshkor qilmaydi. O'zgaradigan narsa — o'sha hisob ma'lumotlarini saqlab turgan holda oxirgi nuqtaga ta'sir qilishi mumkin bo'lgan tomonlar to'plami, va bu yo'naltirish emas, shaxsiy tarmoqning ishonchliligi haqidagi savol. Bu oxirgi nuqta egasi yolg'iz qabul qila olmaydigan hukm, va unga yo'naltirish qoidasi yo'qligi javob bermaydi.

Tarmoq yo'naltirishi uchinchisi va noutbukni tranzit qurilmaga aylantira oladigan yagona mexanizm. IP yo'naltirish, internet ulanishini bo'lishish, proksi yoki ko'prik funksiyasi buni qila oladi, va har biri yoqilgan yoki yoqilmagan konfiguratsiya. Bu holatni VPN mijozining mavjudligidan taxmin qilmasdan to'g'ridan-to'g'ri tekshiring. Boshqariladigan mashinada javob odatda yo'q, va uni tekshirish taxminni yozib qo'yishga arziydigan faktga aylantiradi.

Ikki tarmoq emas, bitta resurs so'rang

Haqiqiy talablarning aksariyati birinchi qarashda ko'ringanidan torroq: bitta konsol, bitta fayl almashish, bitta ichki veb ilova. Talabni shunday ayting va resurs egasi uning shu oxirgi nuqtaga tegishli yoki yo'qligini hal qilsin. Ikki tarmoqni birlashtirish shaklida tuzilgan so'rovni tasdiqlash qiyin va rad etish oson; bitta nomlangan xizmatga so'rovning javobi bor.

Javob ha bo'lsa, eng tor qo'llab-quvvatlanadigan yo'lni tanlang va uni tashkilotning mavjud nazoratlari ichida saqlang. Boshqariladigan ikkinchi profil yoki cheklangan qamrovdagi ilova yozuvi monitoring va siyosatni saqlab qoladi; raqobatchi shaxsiy konfiguratsiya ularni jimgina almashtiradi, va keyingi yangilanishdan keyin qaysi biri g'alaba qozonishini hech kim bilmaydi.

DNS va marshrut ta'sirlarini qo'shing

Nomlarni hal qilish ikkinchi profil faol bo'lgan lahzada o'zgaradi. Shaxsiy mijoz o'z hal qiluvchisini majburlashi mumkin, brauzer o'zining shifrlangan DNS-idan foydalanishi mumkin, va siyosat jadvali ichki nomlarni korporativ konfiguratsiya kutganidan boshqa serverga yo'naltirishi mumkin. Bularning hech biri yo'naltirishni talab qilmaydi, va har biri ichki xost nomini noto'g'ri joyga yuborishi mumkin.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

O'sha uch natijani ikkinchi profil ulanishidan oldin va keyin yozib oling. Ular orasidagi farq foydalanuvchiga aslida yetib boradigan ta'sir, va u ko'pincha chiptada tasvirlangan marshrut o'zgarishidan kattaroq. Ikkala yozuvni ham saqlang, keyingi ko'rib chiquvchi nima o'zgarganini ko'rsin, nima niyat qilinganini emas.

Tekshiring va chiqish yo'lini saqlang

Tasdiqlangan ilovani o'sha mashinadagi administrator qobig'idan emas, haqiqiy jarayon va foydalanuvchi kontekstidan sinab ko'ring. So'ngra dizayn talab qilgan joylarda aloqasiz manzillar yetib bo'lmaydigan bo'lib qolishini tasdiqlang: hech kim sinamagan chegara hech kim da'vo qila olmaydigan chegaradir. Shaxsiy tunnelni uzish oldingi holatni tikashi kerak, va bu tiklanishni hali kimdir kuzatib turganda tekshirishga arziydi.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

NIST-ning nol ishonch arxitekturasi haqidagi yo'riqnomasi bu yerda foydali, chunki u tarmoqdagi joylashuvni ishonchning avtomatik manbai sifatida olib tashlaydi, va bu aynan muhokama qilinayotgan taxmin. Savol uy tarmog'i tabiatan ishonchli emasmi deganida emas; savol kim qaysi resursga, qaysi oxirgi nuqtadan, qaysi ijro nuqtasi orqali yeta olishida. Shu uchtasiga javob bering va dalillarni qaror bilan birga saqlang.