客户 VPN 访问：让特权工作拥有专用设备

连接配置里写着 Production，隧道建立起来了，桌面上的每个窗口现在都能访问客户的系统。这个过程中没有任何一步，把特权会话与旁边那个浏览器标签页分开。VPN 配置只是一个名字加一组路由；你真正在意的边界，是由设备身份、受控的执行环境和凭据路径共同构成的。这三者分别在各自的地方强制执行，所以只做其中一项、跳过其他项，得到的是一套看起来合规、其实并不合规的设计。

配置文件名不是边界

隧道建立时，客户端会应用路由和 DNS 配置，之后在这台机器上运行的一切都继承了这两者。

下拉列表里的名字改变的是运维人员认得出什么，而不是操作系统允许什么。

网关能核查的是设备身份

支持设备证书或状态检查的网关，既认证人，也认证机器。正是在这一层，可以在任何人输入密码之前，就拒绝来自未受管笔记本的连接。设备丢失时，它也给出了可以明确吊销的对象。把一张证书复制到三台机器上，恰恰抹掉了这个属性，所以证书的生命周期应当写进协议，而不是放进共享文件夹。

哪些控制是政策要求的，由客户决定；而供应商搭建的虚拟机，可能根本通不过状态检查。

虚拟机边界在哪里漏

虚拟机会把客户工具与网络状态放在一起，这确实很有用。但它依赖宿主机和管理程序，还有几项便利会越过边界：共享文件夹、剪贴板集成、凭据代理，以及宿主机层面的管理访问。在日常使用的宿主机上运行一台特权来宾机，并不独立可信，因为宿主机能观察到来宾在做什么。把虚拟机当作降低暴露面的控制手段，而不是一个独立的安全域。

专用物理设备消除了对宿主机的依赖，代价是多了一份维护义务。

凭据与传递路径

按工程师、按客户使用独立的、可吊销的身份，并且把它们排除在个人浏览器配置和聊天记录之外。整个团队共用的凭据，既无法归属，也无法干净地轮换或吊销。在第一次会话之前，就把工具、文件和诊断输出的传递路径定下来，因为随手传文件，正是边界悄悄不再是边界的开始。如果必须同时访问两家客户，先把网络与身份的隔离批准下来。

绝不要因为那天下午图方便，就用一台工作站把两家客户的网络桥接起来。

让这件事可复现的协议

为每家客户写一份简短记录，放在双方都能找到的地方。记录里应当写明获批的设备或远程环境及其维护人、被允许的身份、这些身份可以触及的系统与操作、传递路径，以及会话正常结束的方式。

有人在人员入职或离职时逐条过一遍的五句话，胜过没人能执行的制度：

• 获批的设备或远程环境，并指定维护责任人。
• 为支持工作获准的独立用户身份与设备身份。
• 这些身份可以触及的系统与操作。
• 工具、文件和诊断输出允许的传递路径。
• 会话结束流程，以及经授权的应急替代方案。

不搬凭据的应急访问

当某项控制挡住了紧急维修，该走的是例外流程，而不是另一台装着同样凭据的笔记本。获批的例外要记录：谁批准的、放宽了什么、什么时候结束。把凭据搬到日常使用的机器上，是在最糟糕的时刻改变了边界，而且事后通常就这么改着了。应急通道值得在没有故障的时候演练一次。

然后按协议规定的方式结束会话，并确认访问确实已经停止。