提议一台网络所有者能够批准的远程访问设备

远程访问设备会改变客户的网络边界，即使它向外拨号、不需要任何入站端口转发。正是这个向外方向，使它易于安装，也使它容易被忽视。在设备上网之前，就把它作为一份访问设计申请提出来。把它当成不必提及的事，正是技术成功变成合同问题的路径。

假定网络所有者会问四个问题：是什么、是谁、走多远、怎么撤销。

申请的是资源，不是子网

用所有者习惯的措辞描述工作：哪个人需要哪项服务、在哪台设备上、要多久。范围限定为一台主机上的一个应用的请求很容易批准。为一个子网提的请求，等于要求重新安排别人的分段。

客户可能已经在运行一套获批准的 VPN、远程桌面网关或托管支持通道，足以满足需求。先核查这一点，因为复用现有路径通常是双方最省钱的答案。如果确实不合适，就准确说明原因。这个对比是提案中最有说服力的部分。

如果确实需要设备，请一并提供其归属人、软件来源、更新流程和拟定的安装位置。

画出连接，以及信任在哪里终止

画出设备、远程用户、任何中转或中继，以及受保护的资源。标明加密在哪里终止，以及每个端点由谁管理。出站会话仍然引入一条新的控制路径，而这张图正是让它显形的地方。说流量已加密，回答的是保密性问题，而不是任何授权问题。

明确说明模式：数据包转发、应用代理，还是暴露的桌面。每种模式对路由和主机安全的影响不同，设备被攻陷时的失败方式也不同。

把无关的客户网络和设备自身的管理界面排除在批准范围之外。

把用户身份与设备身份分开

用户注册、设备身份、多因素认证和应用登录是四种不同的控制，提案应当逐一写明。共享凭据是常见的捷径，它让所有者无法在不影响所有人的情况下撤销某一个人。登录应当留在应用侧。设备认证的是一条连接；这项服务能做什么，由服务本身决定。

NIST 的零信任架构在这里很有用，因为它把资源访问视为一项明确的决策，而不是网络位置的后果。

在安装之前谈妥恢复与移除

所有者应当能够通过自己掌控的开关立即停用访问，而不是打电话找你。把凭据吊销、设备移除、更新责任，以及到期或复审日期写下来。保留一条不依赖新远程通道的本地恢复路径。一台非得靠供应商才能移除的设备，是伪装成便利的永久依赖。

记录要适度：已批准的身份、访问范围、重大变更和相关故障。

收集无关的浏览历史来证明设备存在，并不是良好运维的证据，还会制造一项所有者从未要求的义务。

一次成功的批准长什么样

与所有者一起验收设计：一项被允许的服务，加一项必须继续被拒绝的资源。后半段正是人们常跳过的地方，而它是唯一能证明边界确实落在图中所说的位置的环节。用同样的方式测试吊销，要在设备承担真实工作之前。如果未获批准，就使用客户认可的替代方案，或者在本地完成工作。

一条能用的连接，不等于创建访问路径的许可。

把批准连同范围和有效期限写下来，并交给所有者一份副本。下一个接触那张网络的人会去读记录，而不是凭你对那次谈话的记忆。