ضع بوابة VPN بجانب Windows XP، لا داخله

في مكان ما داخل المبنى جهاز يشغّل تطبيقًا لا يستطيع أحد استبداله، على نظام تشغيل لا ينبغي أن يُوصل بأي شيء. الانتقال من محول شبكة ذلك المضيف إلى الخارج هو أسرع طريق لمعرفة أين ينتمي النفق. في معظم التصاميم لا ينتمي النفق إلى المضيف إطلاقًا. انقله خطوة واحدة إلى بوابة مُدارة، وستتقلص المشكلة القديمة عائدة إلى التطبيق الذي بدأت به.

ابدأ من محول المضيف، لا من عميل VPN

افتح خصائص المحول وأعطِ المضيف عنوانًا ثابتًا على مقطع صغير مخصص، مع البوابة كمساره الافتراضي. حينها لا يحتاج المضيف إلى عميل نفق ولا إلى بيانات اعتماد للنفق ولا إلى مدخلات في جدول التوجيه تصل إلى شبكة المؤسسة الأوسع. إذا كان التطبيق يحتاج شبكة فرعية بعيدة واحدة، فأضف ذلك المسار الواحد فقط.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

يثبّت ذلك الأمر وجهة واحدة على البوابة ويترك كل شيء آخر غير قابل للتوجيه، وهذا هو الشكل المطلوب. أكّد النتيجة باستخدام route print بدلًا من الثقة برمز الخروج. ثم تحقق من أن التطبيق ما زال يحل اسم خادمه، لأن مضيفًا قديمًا مع مُحلِّل معطّل يبدو تمامًا مثل عطل شبكة، وإصلاح المُحلِّل مهمة من خمس دقائق بينما إعادة بناء تطبيق بعد تغيير شبكي خاطئ ليست كذلك. كل وجهة لا يصل إليها المضيف هي هدف أقل يمكن إغراء مكدس شبكة قديم بمهاجمته.

ضع النفق على عتاد يمكنك تحديثه

تحتاج البوابة إلى واجهتين: واحدة تواجه مقطع المضيف وأخرى تواجه مكان وجود التطبيق، مع انتهاء النفق عند الثانية. يمكن لذلك الجهاز استقبال تحديثات البرنامج الثابت واستبدال إعداداته التشفيرية وتسجيل التدفقات دون أن يلمس أحد الجهاز القديم. كما يوفّر مورّدها إصلاحات لتنفيذ النفق، وهو ما لن يتلقاه المضيف أبدًا. وجود جهازين وموعد نهائي ليس سببًا لنسخ وصفة سر ثابت من منشور منتدى.

امنح كل بوابة هوية نظير خاصة بها بدلًا من نسخ إعداد عميل واحد عبر أسطول. عند استبدال وحدة، ألغِ الهوية القديمة في اللحظة نفسها التي تُشغّل فيها الجديدة، وإلا انتهيت بنسختين غير مضبوطتين تصادقان على نقطة النهاية نفسها. خزّن المفاتيح حيث تتوقعها طبقة إدارة البوابة، وعامل نسخة احتياطية من الإعداد كسرّ، وراجع من يمكنه دفع ذلك الإعداد، لأنه يقرر الآن ما يمكن للمضيف القديم الوصول إليه.

اسمح بالخدمات، لا بالشبكات

اكتب السياسة من حيث البروتوكول والمنفذ والاتجاه بين الوصلتين. منفذ واحد مسموح لعنوان تطبيق واحد هو الجواب المعتاد، ومسار إداري عبر مضيف قفز يغطي الباقي.

لا ينبغي أن تسير الإدارة البعيدة للمضيف القديم على القاعدة نفسها التي يسير عليها التطبيق، واختبار الرفض لا يقل أهمية عن كتابة القاعدة. أرسل طلبًا واحدًا من المضيف إلى وجهة تتوقع رفضها، وأكّد أن الرفض يأتي من السياسة لا من مسار مفقود. سجّل التدفقات التي تسمح بها ما دام التصميم جديدًا، لترى ما يستخدمه التطبيق فعلًا لا ما تدّعيه وثائقه. دمج شبكتين فرعيتين لأن درسًا موصولًا بدا أقصر هو كيف يصبح مقطع قديم محورًا بهدوء.

لا تعرّض المستمع القديم للإنترنت مباشرة كطريق مختصر حول البوابة. أبقِ المسار الإداري منفصلًا عن مسار التطبيق كي لا يسلّم اختراق أحدهما الآخر. القاعدة التي لا تُمارس أبدًا هي قاعدة لم يتحقق منها أحد، ولهذا تنتمي الوجهة المرفوضة إلى جولة القبول.

يجب أن يعمل الاسترداد دون النفق

حدّد من يحدّث البوابة ويستعيدها قبل أول انقطاع، وتأكد من أن ذلك الشخص يستطيع الوصول إليها دون النفق الذي تُنهيه. وصول الطرفية أو منفذ إدارة محلي أو مسار خارج النطاق كلها إجابات مقبولة. البوابة التي لا يمكن ضبطها إلا عبر النفق الذي توفره فخّ ينتظر بصبر دفعة برنامج ثابت سيئة.

اكتب دليل التشغيل للعطل الذي ستواجهه فعلًا: نفق معطل، بوابة ميتة، قرص المضيف مفقود. احتفظ بصورة استرداد المضيف تحت أي ترتيب دعم لا يزال قائمًا، وتذكّر أن الاستعادة تستعيد أيضًا حالة البرمجيات وبيانات الاعتماد داخل تلك الصورة. استعد على المقطع المعزول أولًا، وأكّد أن التطبيق يبدأ، ثم أعد توصيل أي شيء بعد ذلك؛ وعندما تتغير البوابة، حدّث دليل التشغيل والجرد في الجلسة نفسها.

الشهادات والساعات وتحذيرات التوقيع

انتهاء شهادة المثبّت لا يتنبأ بذاته بما سيقوله فحص التوقيع اليوم. توضح إرشادات Microsoft حول الطوابع الزمنية لـ Authenticode أن الطابع الزمني يمكن أن يبقي التوقيع قابلًا للتحقق بعد انتهاء شهادة التوقيع، وأن التحقق لا يزال يعتمد على التوقيع وسلسلة الثقة والمدقق الذي يقوم بالعمل. لذلك يمكن لجهازين بمخزنين مختلفين للثقة أن يختلفا بشأن الملف نفسه. المُوقّع المنتهي ليس دليلًا على أن ملفًا ثنائيًا خبيث، والتوقيع الصالح ليس دليلًا على أن البرمجيات مُصانة.

لا تُرجع ساعة النظام إلى الوراء ولا تُعطّل فحوص التوقيع لتشغيل مثبّت قديم. احصل على أثر مُصرّح به ممن لا يزال يدعم التطبيق، ودعهم يقولون ما تقبله المنصة. تعامل مع المنشورات التي تزعم أن بناءً معينًا كان الأخير لـ XP كتاريخ لا كهدف تثبيت، لأن المتطلب الحقيقي يعتمد على التطبيق؛ وإذا كانت أعمال الحفظ ضرورية حقًا، فأبقها على مقطع معزول بعيدًا عن وصول الإنتاج ووثّق سبب وجودها.