Come la gestione degli indirizzi IP sostiene l’infrastruttura del lavoro da remoto

Lavorare da luoghi diversi richiede un percorso chiaro verso l’applicazione e registri che identifichino i sistemi da cui quel percorso dipende.

Un collega riesce a navigare sul web da casa, ma non ad aprire un’applicazione interna. La password è corretta e la VPN risulta connessa. Il problema può comunque riguardare un indirizzo o un nome: la rete domestica e quella dell’ufficio usano intervalli sovrapposti, oppure il portatile interroga il resolver DNS sbagliato.

La gestione degli indirizzi IP aiuta a capire problemi di questo tipo. Fornisce al team un registro delle reti aziendali, dei pool per l’accesso remoto, degli intervalli cloud e dei servizi che li utilizzano. Il suo valore sta nel collegare questi registri al percorso effettivo che un collega segue per accedere agli strumenti di lavoro.

Ricostruire il percorso da casa all’applicazione

Di solito è il router domestico ad assegnare l’indirizzo locale del portatile. Un servizio aziendale di accesso remoto può fornire un altro indirizzo o consentire l’accesso a singole applicazioni. La destinazione può trovarsi in un ufficio, in un data centre o in una rete cloud. Sono sistemi distinti, spesso gestiti da persone diverse.

L’IPAM del datore di lavoro non amministra automaticamente il router di casa. Occorre registrare le parti controllate dall’organizzazione e le dipendenze che può osservare. In questo modo, il personale di assistenza non scambia un inventario incompleto per una visione completa della connessione di una persona.

Risolvere le sovrapposizioni nel contesto in cui creano problemi

Gli intervalli IPv4 privati possono essere riutilizzati in reti indipendenti, come descrive RFC 1918. Se una rete domestica e una destinazione aziendale usano lo stesso intervallo, una VPN può rendere ambiguo quale destinazione debba raggiungere una rotta.

Pianificate insieme gli intervalli aziendali e quelli per l’accesso remoto. In caso di sovrapposizione, esaminate le rotte effettivamente installate sul client e sul gateway. A seconda dell’architettura, la soluzione può richiedere la rinumerazione di un segmento aziendale, una specifica configurazione di traduzione degli indirizzi o l’accesso a una singola applicazione. È una scelta di progettazione della rete, non un motivo per chiedere a ogni dipendente di ricostruire la propria rete domestica.

Mantenere il legame tra nomi e indirizzi

Il DNS trasforma il nome di un’applicazione nell’indirizzo a cui il client proverà a collegarsi. Il DHCP fornisce la configurazione nelle reti che lo utilizzano. L’IPAM conserva il piano di indirizzamento. DDI indica l’integrazione di queste tre funzioni; non è un altro nome per gli indirizzi IP dinamici.

Verificate quale resolver gestisce i nomi interni quando la connessione remota viene avviata e interrotta. Dove sono disponibili entrambi, controllate il comportamento di IPv4 e IPv6. Un’applicazione può risultare irraggiungibile tramite il suo nome anche quando il collegamento diretto all’indirizzo previsto funziona: le procedure di assistenza devono quindi verificare entrambe le modalità.

Un indirizzo aiuta nelle verifiche, ma non identifica una persona

Una concessione di indirizzo o una sessione VPN può associare un indirizzo a un dispositivo o a un account per un certo periodo. Connessioni condivise, traduzione e riassegnazione fanno sì che un indirizzo, da solo, sia un indizio debole dell’identità. Nell’analisi di un problema, correlate orari, sessioni e registri di autenticazione, limitando l’accesso a chi ha bisogno di consultarli.

L’architettura zero trust del NIST considera la posizione nella rete una base insufficiente per accordare fiducia implicita. L’IPAM può fornire informazioni di contesto utili; la verifica dell’identità, i controlli sui dispositivi e le decisioni di accesso alle applicazioni richiedono comunque controlli propri.

Rendere prevedibili l’ingresso e l’uscita del personale

Per un nuovo collega, verificate che l’account e il dispositivo possano raggiungere le applicazioni previste da una rete esterna rappresentativa. Controllate il pool di indirizzi remoti, la risoluzione dei nomi e i permessi di accesso. Registrate i guasti nel sistema a cui sono riconducibili, senza presumere che l’assegnazione riuscita di un indirizzo dimostri il funzionamento dell’intera configurazione.

Quando un collega lascia l’organizzazione, revocate l’accesso tramite i sistemi di identità e di accesso remoto. Dismettete le assegnazioni aziendali quando opportuno e conservate lo storico necessario a ricostruire le sessioni precedenti. Eliminare una riga dall’IPAM, da solo, non revoca una credenziale.

Creare registri utili all’assistenza

Partite da un’applicazione utilizzata da remoto e documentatene il percorso, gli intervalli pertinenti, il resolver e i team responsabili. Confrontate il successo delle connessioni, i tempi di diagnosi dei guasti e il numero di incongruenze nei registri ancora irrisolte. Includete una prova di ciò che continua a funzionare quando il servizio di gestione non è raggiungibile.

Le persone non dovrebbero dover conoscere l’intera rete per usarla. Un buon coordinamento offre ai team locali il contesto necessario a risolvere un problema e permette all’organizzazione di conservare i propri registri quando cambiano gli strumenti. Per il principio più ampio di un coordinamento verificabile e sostituibile, leggete la Nota 72 di Lu Heng. Per le nozioni di base, proseguite con che cosa fa l’IPAM.