Plaas die VPN-gateway langs Windows XP, nie daarin nie

Ergens in die gebou staan ’n masjien met ’n program wat niemand kan vervang nie, op ’n bedryfstelsel wat aan niks gekoppel behoort te word nie. Om van daardie gasheer se netwerkadapter uit te beweeg, is die vinnigste manier om te sien waar die tonnel hoort. In die meeste ontwerpe hoort dit glad nie op die gasheer nie. Skuif dit een sprong weg na ’n onderhoude gateway, en die ou probleem krimp terug na die program waarmee dit begin het.

Begin by die gasheeradapter, nie by ’n VPN-kliënt nie

Maak die adaptereienskappe oop en gee die gasheer ’n vaste adres op ’n klein toegewyde segment, met die gateway as sy verstekroete. Die gasheer het dan geen tonnelkliënt, geen tonnelbewyse en geen roetetabel-inskrywings na die wyer korporatiewe netwerk nodig nie. As die program een afgeleë subnet nodig het, voeg presies daardie een roete by.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Daardie opdrag pen ’n enkele bestemming aan die gateway vas en laat al die res onbereikbaar, wat die vorm is wat jy wil hê. Bevestig die resultaat met route print eerder as om die afsluitkode te vertrou. Kontroleer dan of die program steeds sy bedienernaam oplos, want ’n ou gasheer met ’n stukkende oplosser lyk presies soos ’n netwerkfout, en om die oplosser reg te maak is ’n werk van vyf minute, terwyl die herbou van ’n program ná ’n verkeerde netwerkverandering dit nie is nie. Elke bestemming wat die gasheer nie kan bereik nie, is een ding minder waarmee ’n ou netwerkstapel oorgehaal kan word om aan te val.

Sit die tonnel op hardeware wat jy kan opdateer

Die gateway wil twee koppelvlakke hê: een na die gasheersegment en een na die plek waar die program woon, met die tonnel wat op die tweede eindig. Daardie toestel kan firmware-opdaterings kry, sy kriptografiese konfigurasie vervang en vloei log sonder dat iemand aan die ou masjien raak. Sy verskaffer lewer ook regstellings vir die tonnelimplementering, wat die gasheer nooit sal ontvang nie. Twee masjiene en ’n sperdatum is nie ’n rede om ’n resep met statiese geheime uit ’n forumplasing te kopieer nie.

Gee elke gateway sy eie portuuridentiteit in plaas daarvan om een kliëntkonfigurasie oor ’n vloot te kloon. Wanneer ’n eenheid vervang word, trek die ou identiteit terug op dieselfde oomblik dat jy die nuwe een aanlyn bring, anders sit jy met twee onbeheerde kopieë wat by dieselfde eindpunt authentiseer. Bewaar die sleutels waar die gateway se bestuursvlak hulle verwag, behandel ’n konfigurasie-rugsteun as ’n geheim, en hersien wie daardie konfigurasie kan stoot, want dit bepaal nou wat die ou gasheer kan bereik.

Laat dienste toe, nie netwerke nie

Skryf die beleid in terme van protokol, poort en rigting tussen die twee aansluitings. ’n Enkele toegelate poort na ’n enkele programadres is die gewone antwoord, en ’n administratiewe pad deur ’n spronggasheer dek die res.

Afgeleë administrasie van die ou gasheer moet nie op dieselfde reël as die program ry nie, en die weiering toets is net so belangrik soos om die reël te skryf. Stuur een versoek van die gasheer na ’n bestemming wat jy verwag om geweier te word, en bevestig dat die weiering van die beleid kom en nie van ’n ontbrekende roete nie. Log die vloei wat jy toelaat terwyl die ontwerp nuut is, sodat jy kan sien wat die program werklik gebruik en nie wat sy dokumentasie beweer nie. Om twee subnette saam te voeg omdat ’n oorbrugde handleiding korter gelyk het, is hoe ’n ou segment stilweg ’n spilpunt word.

Moenie die ou luisteraar direk aan die internet blootstel as ’n kortpad om die gateway nie. Hou die administratiewe pad apart van die programpad, sodat ’n kompromie van die een nie die ander oorhandig nie. ’n Reël wat nooit uitgeoefen word nie, is ’n reël wat niemand geverifieer het nie, en daarom hoort die geweierde bestemming in die aanvaardingsloop.

Herstel moet sonder die tonnel werk

Besluit wie die gateway opdateer en herstel voor die eerste onderbreking, en maak seker daardie persoon kan dit bereik sonder die tonnel wat dit termineer. Konsoletoegang, ’n plaaslike bestuursport of ’n buitebandpad tel almal as antwoorde. ’n Gateway wat net deur die tonnel wat dit verskaf gekonfigureer kan word, is ’n lokval wat geduldig wag vir ’n slegte firmware-stoot.

Skryf die runbook vir die faling wat jy werklik sal teëkom: tonnel af, gateway dood, gasheerskyf weg. Hou die gasheer se herstelbeeld onder watter ondersteuningsreëling ook al nog bestaan, en onthou dat ’n herstel ook die sagtewaretoestand en die bewyse in daardie beeld herstel. Herstel eers op die geïsoleerde segment, bevestig dat die program begin, en koppel eers daarna iets weer; wanneer die gateway verander, werk die runbook en die inventaris in dieselfde sitting by.

Sertifikate, klokke en ondertekeningswaarskuwings

Die vervaldatum van ’n installeerder se sertifikaat voorspel nie op sigself wat ’n handtekeningtoets vandag sal sê nie. Microsoft se rigting oor Authenticode-tydstempels verduidelik dat ’n tydstempel ’n handtekening verifieerbaar kan hou nadat die ondertekeningsertifikaat verval het, en dat validering steeds van die handtekening, die vertroueketting en die verifieerder afhang. Twee masjiene met verskillende vertrouewinkels kan dus oor dieselfde lêer verskil. ’n Vervalde ondertekenaar is nie bewys dat ’n binêre lêer kwaadwillig is nie, en ’n geldige handtekening is nie bewys dat die sagteware onderhou word nie.

Moenie die stelselklok agtertoe skuif of handtekeningtoetse afskakel om ’n ou installeerder te laat werk nie. Kry ’n gemagtigde artefak by wie ook al die program nog ondersteun, en laat hulle sê wat die platform aanvaar. Behandel plasings wat beweer ’n bepaalde bou was die laaste een vir XP as geskiedenis, nie as ’n installasieteiken nie, want die werklike vereiste hang van die program af; as bewaringswerk werklik nodig is, hou dit op ’n geïsoleerde segment weg van produksietoegang en dokumenteer waarom dit bestaan.