Eyni anda iki VPN? Əvvəlcə son nöqtə sərhədini müəyyən edin

Eyni anda qoşulmuş iki VPN klienti bir son nöqtəni iki resurs domeninə salır və bu, marşrutlaşdırma məsələsindən əvvəl səlahiyyət məsələsidir. Tunellərin şifrələnməsi o noutbukdakı tətbiqlərin hər iki şəbəkəyə çata bilməli olub-olmadığını, yaxud bir şəbəkənin həmyaşıd qovşağının digərinə onun vasitəsilə çata biləcəyini heç demir. Aşağıdakı yoxlamaları ardıcıllıqla işləyin və heç kimin cavab verə bilmədiyi ilk yoxlamada dayanın. Bu cavablar olmadan üst-üstə düşməyə razılıq vermək rahatlıq düzəninin səssizcə körpüyə çevrilmə üsuludur.

Faktiki işdən başlayın: şəxs hər şəbəkədə hansı resurslara ehtiyac duyur və hər iki şəbəkənin sahibi bir cihazdan eyni vaxtda girişə icazə verirmi?

Üst-üstə düşməyə kimin icazə verdiyini yoxlayın

Eyni istifadəçini ayrı-ayrılıqda doğrulayan iki şəbəkənin yenə də ayrı sahibləri var və bu sahiblərin başqa yerdə də qoşulmuş cihazlar barədə bir-birinə uyğun gəlməyən fərziyyələri ola bilər. Bir şey dizayn etməzdən əvvəl hər ikisindən soruşun. Təcrid olunmuş noutbuklar üçün yazılmış uzaqdan giriş siyasətinin eyni vaxtda tərəfdaş şəbəkənin içində olan maşın üçün çox vaxt heç bir cavabı olmur.

Cavabı yazılı alın və dəyişiklik qeydi ilə birlikdə saxlayın. Bir tərəf xeyr deyirsə, bu siyahının qalanı nəzəri olaraq qalır və siz özünüzə bir dizayn baxışından qənaət etmiş olursunuz.

İki interfeysə marşrutlaşdırıcı kimi baxmayın

İki aktiv interfeys cihazı avtomatik olaraq marşrutlaşdırıcı və ya Ethernet körpüsü etmir. Hər hansı bir şeyi tranzit yolu adlandırmazdan əvvəl dəstəklənən yönləndirmə, körpüləmə, NAT və proksi konfiqurasiyasını yoxlayın və cihazın artıq daşıdığı əlaqəsiz səlahiyyətli marşrut vəzifələrini qoruyun. Yerli konteyner şəbəkəsi və ya virtuallaşdırma hostu işlədən noutbuk burada bitərəf müşahidəçi deyil.

Tələb həqiqətən A-dan B-yə keçiddirsə, onun yeri sahibi, yoxlanıla bilən qaydalar dəsti və dəyişiklik prosesi olan şəbəkə cihazıdır. Bunun iş stansiyası vasitəsilə təsadüfən baş verməsi bu yoxlamanın qarşısını almaq üçün mövcud olduğu nəticədir.

Son nöqtəyə də giriş nöqtəsi kimi baxın

Cihaz sadəcə hər iki şəbəkənin klienti deyil, həm də xidmətlər təqdim edən hostdur. Həmin maşında icazə verilmiş xidmətə hostun firewall-u və klient siyasətinə uyğun olaraq VPN həmyaşıdı çıxış əldə edə bilər, yəni noutbukdakı açıq idarəetmə portu artıq uzaq şəbəkənin hücum səthinin bir hissəsidir. Marşrutlar barədə mübahisə etməzdən əvvəl nəyin dinlədiyini sadalayın, çünki bir bağlı sazlama portu istənilən tunel siyasətindən üstündür. Host xidmətlərini yalnız nəzərdə tutulan mənbələri və məqsədləri ilə məhdudlaşdırın.

Hər uzaq şəbəkəyə açıq icazələri olan resurs domeni kimi baxın, trafik şifrəli gəldiyi üçün geniş etimad verməyin. NIST-in sıfır etimad arxitekturası resurs səlahiyyətləndirməsini şəbəkə mövqeyinə qarşı duyulan gizli etimaddan ayırır və iki tunelli noutbukun bulandırdığı fərq məhz budur.

Buradaykən bir sual da verin: yerli xidmət və ya səlahiyyətli tətbiq ələ keçirilsəydi, həmin dayaqdan hansı resurslar və etimad məlumatları əlçatan olardı? Cavabı yazın, çünki bütün dizaynın həqiqi risk bəyanatı budur.

Təhlükə modelinə uyğun iş sərhədini seçin

Tətbiq üzrə marşrutlaşdırma proqramları nəzərdə tutulan tunellərə təyin edə bilər, ayrı iş profilləri, istifadəçilər və ya dəstəklənən virtual iş sahələri isə platformadan asılı olaraq şəxsiyyət və məlumat sərhədləri əlavə edə bilər. Sərhədi nümayişə deyil, təhlükə modelinə uyğunlaşdırın: şəxsiyyət ayrımı olmayan marşrut ayrımı yenə də bir brauzer profilinin hər iki sessiyanı saxlamasına gətirib çıxarır.

Şəbəkə adlar məkanı marşrutlaşdırmanı və şəbəkə vəziyyətini təcrid edir; hər fayl sistemi yolunu, mübadilə buferini və ya etimad agentini təcrid etmir. Virtual maşın və ya idarə olunan profil də qəsdən qurulmuş paylaşma və host idarəetmə siyasəti tələb edir. Hansı qovluqların, doğrulama köməkçilərinin və kopyala-yapışdır yollarının açıq qaldığını qeyd edin, çünki iki domen arasında məlumatı həqiqətən daşıyan kanallar bunlardır.

Ardıcıl iş üçün qəsdən edilən keçid adətən eyni vaxtda girişi saxlamaqdan sadədir. Asılı əməliyyatı bitirin, sonra fon alətlərini qeyri-müəyyən kontekstə bağlı qoymaq əvəzinə növbəti iş sahəsinin şəxsiyyətini və marşrutunu yoxlayın.

Təsdiqi şüar kimi deyil, tapşırıq kimi yazın

Təsdiq qeydi tapşırıq kimi oxunmalıdır: dəstək iş sahəsi A Şəbəkəsinin xidmət konsoluna və B Şəbəkəsinin bilet portalına çıxa bilər, A-dan B-yə səlahiyyətli yönləndirmə, ortaq etimad agenti və avtomatik fayl sinxronizasiyası olmadan. O cümlədəki hər bənd konfiqurasiya edib sınaqdan keçirə biləcəyiniz bir şeyə uyğun gəlir.

Sonra yalnız müsbət halları deyil, mənfi halları da yoxlayın. Sərhəddən kənarda qalmalı olan resursa çıxışa cəhd edin, host xidmətinin digər tərəfdən cavab vermədiyini təsdiqləyin və etimad köməkçisinin hər iki domenə səssizcə xidmət etmədiyini yoxlayın.

Qeydi yalnız biletdə deyil, cihazla birlikdə saxlayın ki, bu düzəni sonra devralan şəxs hansı sərhədin qəsdən qoyulduğunu bilsin. İki tuneli olub yazılı sərhədi olmayan noutbuku səhv konfiqurasiyadan ayırmaq mümkün deyil.