Twee VPN's gelyktydig? Bepaal eers die eindpuntgrens

Twee VPN-kliënte wat gelyktydig verbind is, plaas een eindpunt in twee domeine van hulpbronne, en dit is ’n magtigingsvraag voor dit ’n roetevraag is. Dat die tonnels geënkripteer is, sê niks daaroor of die programme op daardie skootrekenaar albei netwerke moet kan bereik nie, of of een netwerk se eweknie die ander daardeur kan bereik nie. Werk die kontroles hieronder in volgorde deur, en stop by die eerste een wat niemand kan beantwoord nie. Om die oorvleueling goed te keur sonder daardie antwoorde, is hoe ’n geriefreëling stilletjies ’n brug word.

Begin by die werklike werk: watter hulpbronne in elke netwerk het die persoon nodig, en laat albei netwerkeienaars gelyktydige toegang vanaf een toestel toe?

Kontroleer wie die oorvleueling toelaat

Twee netwerke wat elkeen dieselfde gebruiker verifieer, het steeds afsonderlike eienaars, en daardie eienaars kan onversoenbare aannames hê oor toestelle wat ook elders gekoppel is. Vra albei voordat jy enigiets ontwerp. ’n Beleid vir afstandtoegang wat vir geïsoleerde skootrekenaars geskryf is, het dikwels glad geen antwoord vir ’n masjien wat gelyktydig binne ’n vennootnetwerk is nie.

Kry die antwoord skriftelik en hou dit by die veranderingsrekord. As een kant nee sê, is die res van hierdie lys akademies, en het jy jouself ’n ontwerphersiening gespaar.

Moenie twee koppelvlakke as ’n roeteerder behandel nie

Twee aktiewe koppelvlakke maak nie outomaties die toestel ’n roeteerder of ’n Ethernet-brug nie. Kontroleer die ondersteunde deurvoer-, bruggemaak-, NAT- en proxy-opstelling voordat jy enigiets as ’n deurvoerpad beskryf, en behou enige onverwante gemagtigde roeteverpligtinge wat die toestel reeds het. ’n Skootrekenaar wat ’n plaaslike houernetwerk of ’n virtualiseringsgasheer laat loop, is hier nie ’n neutrale waarnemer nie.

As die vereiste werklik A-na-B-deurvoer is, hoort dit op ’n netwerktoestel met ’n eienaar, ’n ouditeerbare reëlversameling en ’n veranderingsproses. Om dit per ongeluk deur ’n werkstasie te doen, is die uitkoms wat hierdie kontrole bestaan om te voorkom.

Behandel ook die eindpunt as ’n toegangspunt

Die toestel is nie net ’n kliënt van albei netwerke nie; dit is ’n gasheer wat dienste aanbied. ’n Toegelate diens op daardie masjien kan volgens die gasheer se vuurmuur en die kliëntbeleid van ’n VPN-eweknie bereikbaar wees, so ’n blootgestelde bestuursport op die skootrekenaar is nou deel van die afgeleë netwerk se aanvalsoppervlak. Tel op wat luister voordat jy oor roetes redeneer, want een gebonde ontfoutingsport weeg swaarder as enige tonnelbeleid. Hou gasheerdienste beperk tot hul beoogde bronne en doeleindes.

Behandel elke afgeleë netwerk as ’n domein van hulpbronne met uitdruklike regte eerder as om breë vertroue te gee omdat die verkeer geënkripteer arriveer. NIST se zero-trust-argitektuur skei magtiging van hulpbronne van implisiete vertroue in netwerklokasie, en dit is juis die onderskeid wat ’n skootrekenaar met twee tonnels vervaag.

Vra nog een vraag terwyl jy hier is: as ’n plaaslike diens of ’n gemagtigde program gekompromitteer word, watter hulpbronne en geloofsbriewe sou van daardie vastrapplek bereikbaar word? Skryf die antwoord neer, want dit is die werklike risikoverklaring vir die hele ontwerp.

Kies die werkgrens wat by die bedreigingsmodel pas

Roetering per program kan programme aan bedoelde tonnels toewys, en afsonderlike werkprofiele, gebruikers of ondersteunde virtuele werkareas kan identiteits- en datagrense byvoeg, afhangend van die platform. Pas die grens by die bedreigingsmodel aan eerder as by die demonstrasie: ’n roeteringsplitsing sonder ’n identiteitsplitsing laat steeds een blaaiersprofiel albei sittings hou.

’n Netwerknaamruimte isoleer roetering en netwerktoestand; dit isoleer nie elke lêerstelselpad, knipbord of geloofsbriefagent nie. ’n VM of ’n bestuurde profiel het net so ’n doelbewuste deel- en gasheradministrasiebeleid nodig. Teken aan watter vouers, verifikasiehulpmiddels en knip-en-plak-paaie beskikbaar bly, want dit is die kanale wat werklik data tussen die twee domeine dra.

Vir opeenvolgende werk is ’n doelbewuste oorskakeling gewoonlik eenvoudiger as om gelyktydige toegang in stand te hou. Voltooi die afhanklike bewerking, en verifieer dan die volgende werkarea se identiteit en roete in plaas daarvan om agtergrondgereedskap aan ’n onduidelike konteks gekoppel te laat.

Skryf die goedkeuring as ’n taak, nie ’n slagspreuk nie

’n Goedkeuringsrekord moet soos ’n taak lees: die ondersteuningswerkarea mag Netwerk A se dienskonsol en Netwerk B se kaartjieportaal bereik, met geen gemagtigde A-na-B-deurvoer, geen gedeelde geloofsbriefagent en geen outomatiese lêersinkronisering nie. Elke klousule in daardie sin stem ooreen met iets wat jy kan opstel en toets.

Verifieer dan die negatiewe gevalle, nie net die positiewe nie. Probeer ’n hulpbron bereik wat buite die grens behoort te wees, bevestig dat die gasheerdiens nie van die ander kant antwoord nie, en kontroleer dat die geloofsbriefhulpmiddel nie stilweg albei domeine bedien nie.

Hou die rekord by die toestel, nie net in die kaartjie nie, sodat die volgende persoon wat die reëling oorneem, weet watter grens doelbewus was. ’n Skootrekenaar met twee tonnels en geen geskrewe grens nie is nie van ’n foutopstelling te onderskei nie.