شبكتا VPN في آن واحد؟ حدّد حدود نقطة النهاية أولاً

عميلا VPN متصلان في آن واحد يضعان نقطة نهاية واحدة داخل نطاقَي موارد، وهذه مسألة تخويل قبل أن تكون مسألة توجيه. كون النفقين مشفّرين لا يقول شيئاً عن مدى وجوب وصول التطبيقات على ذلك الحاسوب المحمول إلى الشبكتين معاً، ولا عمّا إذا كان نظير إحدى الشبكتين قادراً على الوصول إلى الأخرى عبرها. اعمل على الفحوص أدناه بالترتيب، وتوقّف عند أول فحص لا يستطيع أحد الإجابة عنه. الموافقة على التداخل دون تلك الإجابات هي الطريقة التي يصبح بها ترتيب مريح جسراً بهدوء.

ابدأ من العمل الفعلي: أي الموارد في كل شبكة يحتاجها الشخص، وهل يسمح مالكا الشبكتين بالوصول المتزامن من جهاز واحد؟

تحقّق ممّن يسمح بالتداخل

شبكتان تصادق كل منهما على المستخدم نفسه ما زالتا تملكان مالكين منفصلين، وقد تكون لدى هذين المالكين افتراضات متعارضة بشأن أجهزة متصلة كذلك في مكان آخر. اسأل كليهما قبل تصميم أي شيء. سياسة الوصول عن بعد المكتوبة لأجهزة محمولة معزولة لا تملك غالباً أي إجابة عن جهاز موجود في الوقت نفسه داخل شبكة شريك.

احصل على الإجابة كتابةً واحفظها مع سجل التغيير. إن قال أحد الطرفين لا، فبقية هذه القائمة نظرية، وتكون قد وفّرت على نفسك مراجعة تصميم.

لا تتعامل مع واجهتين كموجّه

وجود واجهتين نشطتين لا يجعل الجهاز تلقائياً موجّهاً ولا جسر إيثرنت. تحقّق من إعدادات التمرير والجسر وNAT والوكيل المدعومة قبل أن تصف أي شيء بأنه مسار عبور، واحفظ أي واجبات توجيه مصرّح بها وغير مرتبطة موجودة أصلاً على الجهاز. الحاسوب المحمول الذي يشغّل شبكة حاويات محلية أو مضيفاً افتراضياً ليس مراقباً محايداً هنا.

إذا كانت الحاجة فعلاً عبوراً من A إلى B، فهذا مكانه جهاز شبكة له مالك ومجموعة قواعد قابلة للتدقيق وعملية تغيير. أما حدوثه بالخطأ عبر محطة عمل فهو النتيجة التي يوجد هذا الفحص لمنعها.

تعامل مع نقطة النهاية كنقطة وصول أيضاً

الجهاز ليس مجرد عميل للشبكتين، بل مضيف يقدّم خدمات. قد تكون خدمة مصرّح بها على ذلك الجهاز قابلة للوصول من نظير VPN وفق جدار حماية المضيف وسياسة العميل، لذا فمنفذ إدارة مكشوف على الحاسوب المحمول أصبح الآن جزءاً من سطح الهجوم في الشبكة البعيدة. أحصِ ما يستمع قبل أن تجادل في المسارات، لأن منفذ تنقيح مرتبطاً واحداً يتقدّم على أي سياسة نفق. أبعد خدمات المضيف عن غير مصادرها وأغراضها المقصودة.

تعامل مع كل شبكة بعيدة كنطاق موارد له أذونات صريحة بدلاً من منح ثقة واسعة لأن الحركة وصلت مشفّرة. معمارية الثقة الصفرية لدى NIST تفصل تخويل الموارد عن الثقة الضمنية في الموقع الشبكي، وهذا بالضبط الفرق الذي يطمسه حاسوب محمول بنفقين.

اسأل سؤالاً آخر وأنت هنا: لو اختُرق خدمة محلية أو تطبيق مصرّح به، فما الموارد وبيانات الاعتماد التي ستصبح قابلة للوصول من ذلك الموضع؟ اكتب الإجابة، لأنها بيان المخاطر الحقيقي للتصميم كله.

اختر حدود العمل التي تلائم نموذج التهديد

يمكن للتوجيه حسب التطبيق أن يخصّص برامج لأنفاق مقصودة، ويمكن لملفات عمل أو مستخدمين أو مساحات عمل افتراضية مدعومة أن تضيف حدود هوية وبيانات بحسب المنصة. طابق الحدود مع نموذج التهديد لا مع العرض التوضيحي: فصل التوجيه دون فصل الهوية يترك ملف متصفح واحد يحمل الجلستين.

عزل فضاء أسماء الشبكة توجيه الشبكة وحالتها؛ ولا يعزل كل مسار في نظام الملفات ولا الحافظة ولا وكيل بيانات الاعتماد. الآلة الافتراضية أو ملف التعريف المُدار تحتاج كذلك إلى سياسة مشاركة وإدارة مضيف مدروسة. سجّل المجلدات ومساعدات المصادقة ومسارات النسخ واللصق التي تبقى متاحة، لأنها القنوات التي تنقل البيانات فعلاً بين النطاقين.

في العمل المتتابع، يكون التبديل المتعمّد أبسط عادة من إبقاء وصول متزامن. أكمل العملية التابعة، ثم تحقّق من هوية مساحة العمل التالية ومسارها بدلاً من ترك أدوات خلفية معلّقة بسياق غامض.

اكتب الموافقة كمهمة لا كشعار

ينبغي أن يُقرأ سجل الموافقة كمهمة: يجوز لمساحة عمل الدعم الوصول إلى وحدة تحكم خدمات الشبكة A وبوابة تذاكر الشبكة B، دون تمرير مصرّح به من A إلى B، ودون وكيل بيانات اعتماد مشترك، ودون مزامنة ملفات تلقائية. كل بند في تلك الجملة يقابله شيء يمكنك إعداده واختباره.

ثم تحقّق من الحالات السلبية لا الإيجابية فقط. حاول الوصول إلى مورد يجب أن يكون خارج الحدود، وتأكد أن خدمة المضيف لا تجيب من الجهة الأخرى، وافحص أن مساعد بيانات الاعتماد لا يخدم النطاقين بصمت.

احفظ السجل مع الجهاز لا في التذكرة وحدها، حتى يعرف من يرث الترتيب لاحقاً أي حدود كانت مقصودة. الحاسوب المحمول ذو النفقين وبلا حدود مكتوبة لا يُميَّز عن إعداد خاطئ.