Máy tính xách tay công việc trên VPN cá nhân: điều gì thực sự đi qua

Kết nối máy tính xách tay của công ty với VPN tại nhà đặt nó ở hai nơi cùng lúc, và câu hỏi thú vị nhỏ hơn và hữu ích hơn câu hỏi đáng lo. Không ai kéo cáp Ethernet giữa văn phòng và nhà, và không tuyến nào biến mạng tại nhà thành phần mở rộng của mạng con doanh nghiệp. Điều tồn tại là một điểm cuối duy nhất có quyền truy cập cả hai môi trường, và ba cơ chế riêng biệt quyết định điều gì thực sự có thể di chuyển giữa chúng. Đi qua ba điểm đó, từ điểm cuối ra ngoài, tạo ra câu trả lời mà người quản trị có thể hành động thay vì tranh luận về nhãn.

Bắt đầu từ điểm cuối, không phải từ sơ đồ mạng

Điểm cuối là nơi hai kết nối gặp nhau, nên đó là nơi việc xem xét bắt đầu: tiến trình nào đang chạy, chúng có thể chạm tới gì và ai kiểm soát chúng. Một sơ đồ hiển thị hai đám mây nối với máy tính xách tay là chính xác và vô dụng, vì nó ngụ ý một liên kết có thể không tồn tại. Thay vào đó bằng danh sách các ứng dụng có thể nói chuyện với từng môi trường, và ghi lại mỗi ứng dụng chạy dưới tài khoản nào. Cách đóng khung đó cũng giữ cho việc xem xét tương xứng, vì máy tính xách tay có hai đường hầm không phải cùng một đối tượng với hai mạng được nối lại.

Danh sách đó là bản kiểm kê mà phần còn lại của việc xem xét làm việc dựa trên. Nếu nó có một ứng dụng đồng bộ, một hồ sơ trình duyệt đã đăng nhập vào cả hai môi trường và một tác nhân biên dịch có thông tin xác thực, việc xem xét đã có đối tượng của nó.

Ba điểm giao cắt, được xem xét riêng

Truy cập ứng dụng là điểm giao cắt đầu tiên, và nó không đòi hỏi bất kỳ chuyển tiếp nào. Một tab trình duyệt, ứng dụng đồng bộ hoặc tác nhân biên dịch trên điểm cuối có thể đọc từ một tài nguyên trong môi trường này và gửi dữ liệu tới một tài nguyên trong môi trường kia. Khả năng đó tồn tại dù hệ điều hành có chuyển tiếp gói giữa các giao diện hay không, và đó chính là cơ chế mà người ta bỏ qua khi kết luận rằng không có cầu thì không có rủi ro. Vì vậy đọc danh sách ứng dụng cho nhiều thông tin hơn đọc danh sách giao diện.

Danh tính và dữ liệu tạo thành điểm giao cắt thứ hai. Thông tin xác thực doanh nghiệp, cookie phiên, tài liệu đã tải xuống và quyền quản trị nằm trên điểm cuối, và việc tham gia một mạng khác không tự nó tiết lộ chúng. Điều thay đổi là tập hợp các bên có thể ảnh hưởng tới điểm cuối trong khi nó giữ những thông tin xác thực đó, và đó là câu hỏi về độ tin cậy của mạng cá nhân chứ không phải về định tuyến. Đó là một phán đoán mà chủ sở hữu điểm cuối không thể tự mình đưa ra, và nó không được trả lời bằng việc thiếu một quy tắc chuyển tiếp.

Chuyển tiếp mạng là điểm thứ ba, và là điểm duy nhất có thể biến máy tính xách tay thành thiết bị trung chuyển. Chuyển tiếp IP, chia sẻ kết nối internet, proxy hoặc tính năng cầu nối đều có thể làm điều đó, và mỗi thứ là một cấu hình hoặc đã bật hoặc chưa. Hãy kiểm tra trạng thái đó trực tiếp thay vì suy ra từ sự hiện diện của ứng dụng VPN. Trên máy được quản lý, câu trả lời thường là không, và việc xác minh biến một giả định thành sự thật đáng ghi lại.

Hãy yêu cầu một tài nguyên, không phải hai mạng

Hầu hết các yêu cầu thực tế hẹp hơn vẻ ngoài ban đầu: một bảng điều khiển, một chia sẻ tệp, một ứng dụng web nội bộ. Hãy phát biểu yêu cầu như vậy và để chủ sở hữu tài nguyên quyết định liệu nó có thuộc điểm cuối này hay không. Một yêu cầu được đóng khung như việc nối hai mạng thì khó phê duyệt và dễ từ chối; một yêu cầu cho một dịch vụ được nêu tên thì có câu trả lời.

Nếu câu trả lời là có, hãy ưu tiên con đường được hỗ trợ hẹp nhất và giữ nó trong các kiểm soát hiện có của tổ chức. Một hồ sơ thứ hai được quản lý hoặc một mục ứng dụng có phạm vi giới hạn bảo toàn giám sát và chính sách; một cấu hình cá nhân cạnh tranh lặng lẽ thay thế chúng, và không ai biết cái nào thắng sau bản cập nhật tiếp theo.

Bao gồm các ảnh hưởng của DNS và tuyến đường

Việc phân giải tên thay đổi ngay khi hồ sơ thứ hai hoạt động. Một ứng dụng cá nhân có thể áp đặt trình phân giải riêng, trình duyệt có thể dùng DNS mã hóa riêng, và bảng chính sách có thể định tuyến tên nội bộ tới một máy chủ khác với máy chủ mà cấu hình doanh nghiệp mong đợi. Không điều nào trong số đó cần chuyển tiếp, và bất kỳ điều nào cũng có thể gửi một tên máy chủ nội bộ tới sai chỗ.

Resolve-DnsName intranet.corp.example -Type A
Get-DnsClientNrptPolicy -Effective
route print 0.0.0.0

Ghi lại ba đầu ra đó trước và sau khi hồ sơ thứ hai kết nối. Sự khác biệt giữa chúng là ảnh hưởng thực sự tới người dùng, và nó thường lớn hơn thay đổi định tuyến mà phiếu mô tả. Giữ cả hai bản ghi để người đánh giá sau này thấy điều gì đã thay đổi chứ không phải điều gì đã dự định.

Xác minh và giữ một lối ra

Kiểm tra ứng dụng đã được phê duyệt từ tiến trình và ngữ cảnh người dùng thật, không phải từ shell quản trị trên cùng máy. Sau đó xác nhận rằng các đích không liên quan vẫn không thể chạm tới ở nơi thiết kế yêu cầu: một ranh giới không ai kiểm tra là ranh giới không ai có thể khẳng định. Việc ngắt đường hầm cá nhân phải khôi phục trạng thái trước đó, và việc khôi phục đó đáng được kiểm tra khi vẫn còn người theo dõi.

Test-NetConnection -ComputerName files.corp.example -Port 443
Get-NetConnectionProfile

Hướng dẫn của NIST về kiến trúc không tin cậy hữu ích ở đây vì nó loại bỏ vị trí mạng như một nguồn tin cậy tự động, và đó chính là giả định đang được tranh luận. Câu hỏi không phải là mạng tại nhà có đáng tin theo bản chất hay không; mà là ai có thể chạm tới tài nguyên nào, từ điểm cuối nào và qua điểm thực thi nào. Hãy trả lời ba điều đó, và giữ bằng chứng cùng quyết định.