VPN văn phòng nhỏ: giữ nó tách khỏi bộ điều khiển miền

Ba điều kiện quyết định việc máy chủ Windows duy nhất của văn phòng có nên chấm dứt VPN hay không: bạn sẵn sàng chạy bao nhiêu phần mềm hướng internet trên thư mục, bạn có thể xác thực người dùng từ xa mà không cần vai trò đó hay không, và điều gì xảy ra với quyền truy cập quản trị của bạn khi máy chủ khởi động lại. Nếu bất kỳ điều nào trong ba có câu trả lời xấu, hãy tách vai trò. Văn phòng nhỏ chỉ thay đổi ngân sách, không thay đổi rủi ro.

Mọi máy trong miền đều tin tưởng bộ điều khiển miền; một cổng VPN thì bất kỳ ai trên internet cũng chạm tới được. Sự bất đối xứng đó chính là toàn bộ lập luận.

Hai công việc với hai hồ sơ phơi bày khác nhau

Cổng nhận kết nối từ bên ngoài, nên trình lắng nghe, ngăn xếp TLS và bề mặt xác thực của nó đều có thể chạm tới từ các mạng không đáng tin cậy. Thư mục nắm giữ quyền lực mà các máy khác tin tưởng, vì thế hướng dẫn cứng hóa của Microsoft coi vai trò bộ điều khiển miền và môi trường lưu trữ của nó là đặc biệt nhạy cảm. Mỗi dịch vụ thêm vào máy chủ đó thừa hưởng vị thế tin cậy của thư mục trong khi thêm bề mặt tấn công riêng. Sự tiện lợi khi cài đặt không phải ranh giới tin cậy.

Tách vai trò không loại bỏ các phụ thuộc. Người dùng từ xa vẫn cần xác thực, tuyến, DNS và quy tắc truy cập, và một cổng bỏ qua chúng không an toàn hơn, chỉ kém hữu ích hơn.

Xác thực không cần vai trò thư mục

Cổng có thể xác nhận thông tin đăng nhập thông qua một tích hợp bên ngoài được hỗ trợ mà không lưu trữ chính thư mục. Dù tích hợp đó là gì, hãy cấp cho nó một tài khoản có quyền phù hợp với mục đích: đọc các thuộc tính cần thiết để xác thực, không hơn. Việc chấp nhận người dùng VPN không bao giờ đòi hỏi biến tài khoản thông thường của họ thành quản trị viên miền, và cũng không bao giờ đòi hỏi cổng phải giữ một bản sao của thư mục.

Sau đó giới hạn các đường mạng mà máy khách từ xa thực sự cần. Truy cập vào một dịch vụ tệp nội bộ, cùng các dịch vụ phân giải tên và danh tính mà quy trình đó phụ thuộc, là một tập đường được xác định. Đó không phải lý do để cho phép mọi cổng của bộ điều khiển miền hay mọi giao diện quản trị từ nhóm VPN.

Một máy chủ vẫn là một miền hỏng hóc

Hai khách trên một hypervisor tách cấu hình hệ điều hành của chúng chứ không tách số phận của chúng. Quản trị viên hypervisor, chuyển mạch ảo, lưu trữ và sao lưu vẫn là một phần của thiết kế, và việc khởi động lại máy chủ loại bỏ cả hai dịch vụ cùng lúc. Gọi đó là tính sẵn sàng cao vì sơ đồ cho thấy hai VM là một sai lầm phổ biến và đắt giá. Nếu con đường trở lại duy nhất chạy qua VPN trên máy chủ đó, một sự cố sẽ lấy đi kết nối cần thiết để sửa nó.

Vì vậy hãy lên kế hoạch một đường quản trị độc lập không phụ thuộc vào đường hầm, và ghi lại những gì vẫn sẵn có trong lúc bảo trì. Lên lịch cập nhật cổng và bảo trì thư mục riêng, ghi chú người dùng hoặc ứng dụng mà mỗi lần gián đoạn tác động.

Một cửa sổ bảo trì đòi hỏi VPN phải hoạt động để sửa VPN không phải là cửa sổ bảo trì.

Di chuyển nó mà không tự nhốt mình bên ngoài

Nếu các vai trò đã chia sẻ một bản cài đặt, hãy tránh một cuộc di chuyển từ xa vội vàng. Kiểm kê những gì cổng đang sở hữu hôm nay: địa chỉ, quy tắc chuyển tiếp, NAT, cài đặt DNS, cấu hình xác thực và bất kỳ dịch vụ nào đã công bố. Chuẩn bị cả phương án thay thế và đường trở lại trước khi di chuyển trình lắng nghe hoặc thay đổi tuyến mặc định. Sau đó kiểm tra công việc thực tế của một người dùng từ xa bình thường qua ranh giới mới, và xác nhận rằng quyền truy cập quản trị không cần thiết vẫn thất bại.

Mục tiêu không phải sơ đồ đẹp hơn. Đó là khả năng sửa hoặc xây lại VPN mà không chạm vào chiếc hộp neo giữ sự tin cậy của thư mục cho toàn bộ văn phòng. Đó là những mục tiêu khác nhau, và chỉ một trong số đó cần máy chủ thứ hai.

Hãy ghi lại quyết định dù thế nào, kể cả các điều kiện sẽ mở lại nó. Một văn phòng nhỏ lớn lên, và câu trả lời phù hợp với một máy chủ có thể không phù hợp với máy chủ tiếp theo.