VPN şlüzünü Windows XP-nin yanına qoyun, içərisinə yox

Binanın hansısa yerində heç kimin əvəz edə bilmədiyi bir tətbiqi heç nəyə qoşulmamalı olan əməliyyat sistemi üzərində işlədən maşın var. Həmin hostun şəbəkə adapterindən kənara doğru getmək tunelin hara aid olduğunu görməyin ən sürətli yoludur. Əksər dizaynlarda tunel hosta ümumiyyətlə aid deyil. Onu bir addım yana, baxılan şlüzə köçürün və köhnə problem başladığı tətbiqə qədər kiçiləcək.

VPN müştərisindən deyil, host adapterindən başlayın

Adapter xassələrini açın və hosta kiçik ayrılmış seqmentdə sabit ünvan verin, şlüz onun defolt marşrutu olsun. Sonra hosta nə tunel müştərisi, nə tunel etimadnaməsi, nə də geniş korporativ şəbəkəyə uzanan marşrut cədvəli qeydləri lazım deyil. Tətbiqə bir uzaq alt şəbəkə lazımdırsa, məhz o bir marşrutu əlavə edin.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Bu əmr tək təyinatı şlüzə bağlayır və qalan hər şeyi marşrutsuz qoyur ki, istədiyiniz forma budur. Çıxış koduna güvənmək əvəzinə nəticəni route print ilə təsdiqləyin. Sonra tətbiqin hələ də server adını həll etdiyini yoxlayın, çünki pozulmuş həlledici ilə köhnə host tam şəbəkə nasazlığı kimi görünür və həlledicini düzəltmək beş dəqiqəlik işdir, səhv şəbəkə dəyişikliyindən sonra tətbiqi yenidən qurmaq isə deyil. Hostun çata bilmədiyi hər təyinat köhnə şəbəkə yığınının hücuma təhrik edilə biləcəyi bir az şeydir.

Tuneli yeniləyə bildiyiniz avadanlığa qoyun

Şlüz iki interfeys istəyir: biri host seqmentinə, biri tətbiqin yaşadığı yerə baxsın, tunel ikincidə bitsin. Həmin cihaz proqram təminatı yeniləmələrini ala, kriptoqrafik konfiqurasiyasını dəyişə və axınları qeyd edə bilər, köhnə maşına heç kim toxunmadan. Onun təchizatçısı tunel tətbiqi üçün düzəlişlər də göndərir, host bunları heç vaxt almayacaq. İki maşın və bir son tarix forum yazısından statik sirr reseptini köçürməyə səbəb deyil.

Hər şlüzə öz peer kimliyini verin, bir müştəri konfiqurasiyasını donanmaya klonlamayın. Vahid dəyişdirildikdə köhnə kimliyi yenisini işə saldığınız anda ləğv edin, əks halda eyni son nöqtəyə autentifikasiya edən iki nəzarətsiz nüsxə ilə qalırsınız. Açarları şlüzün idarəetmə müstəvisinin gözlədiyi yerdə saxlayın, konfiqurasiya ehtiyat nüsxəsini sirr kimi qəbul edin və bu konfiqurasiyanı kimin göndərə biləcəyini nəzərdən keçirin, çünki artıq köhnə hostun nəyə çata biləcəyini o müəyyən edir.

Şəbəkələrə yox, xidmətlərə icazə verin

Siyasəti iki qoşulmanın arasında protokol, port və istiqamət baxımından yazın. Tək tətbiq ünvanına icazə verilən tək port adi cavabdır, jump host üzərindən inzibati yol isə qalanını əhatə edir.

Köhnə hostun uzaqdan idarəsi tətbiqlə eyni qayda ilə getməməlidir və rəddin sınaqdan keçirilməsi qaydanın yazılması qədər vacibdir. Hostdan rədd edilməsini gözlədiyiniz bir təyinata bir sorğu göndərin və rəddin çatışmayan marşrutdan deyil, siyasətdən gəldiyini təsdiqləyin. Dizayn yeniykən icazə verdiyiniz axınları qeyd edin ki, tətbiqin sənədlərinin iddia etdiyini deyil, həqiqətən nə istifadə etdiyini görəsiniz. Körpülənmiş dərslik daha qısa göründüyü üçün iki alt şəbəkəni birləşdirmək köhnə seqmentin səssizcə pivota çevrilmə üsuludur.

Köhnə dinləyicini şlüzün ətrafından qısa yol kimi birbaşa internetə çıxarmayın. İnzibati yolu tətbiq yolundan ayrı saxlayın ki, birinin kompromisi digərini təhvil verməsin. Heç vaxt tətbiq olunmayan qayda heç kimin yoxlamadığı qaydadır, buna görə rədd edilən təyinat qəbul yürüşünə aiddir.

Bərpa tunelsiz işləməlidir

İlk kəsintidən əvvəl şlüzü kimin yeniləyib bərpa edəcəyini qərarlaşdırın və həmin şəxsin onu bağladığı tunel olmadan ora çata bildiyinə əmin olun. Konsol girişi, yerli idarəetmə portu və ya zolaqdan kənar yol hamısı cavab sayılır. Yalnız təqdim etdiyi tunel vasitəsilə konfiqurasiya edilə bilən şlüz pis proqram yeniləməsini səbirlə gözləyən tələdir.

Həqiqətən qarşılaşacağınız nasazlıq üçün runbook yazın: tunel aşağı, şlüz ölü, host diski yox. Hostun bərpa obrazını onun üçün hələ mövcud olan hansı dəstək razılaşması varsa, onun altında saxlayın və yadda saxlayın ki, bərpa həmin obrazdakı proqram vəziyyətini və etimadnamələri də bərpa edir. Əvvəlcə təcrid olunmuş seqmentə bərpa edin, tətbiqin başladığını təsdiqləyin və yalnız sonra nəyisə yenidən qoşun; şlüz dəyişdikdə runbook və inventarı eyni oturumda yeniləyin.

Sertifikatlar, saatlar və imza xəbərdarlıqları

Quraşdırıcının sertifikatının vaxtının bitməsi bugün imza yoxlamasının nə deyəcəyini özlüyündə proqnozlaşdırmır. Microsoft-un Authenticode zaman damğası təlimatı izah edir ki, zaman damğası imza sertifikatı bitdikdən sonra da imzanı yoxlanıla bilən saxlaya bilər və yoxlama hələ də imzadan, etimad zəncirindən və işi görən yoxlayıcıdan asılıdır. Buna görə fərqli etimad anbarları olan iki maşın eyni fayl barədə fərqli fikirdə ola bilər. Vaxtı bitmiş imzalayan ikili faylın zərərli olduğuna sübut deyil və etibarlı imza proqram təminatının saxlanıldığına sübut deyil.

Köhnə quraşdırıcını işə salmaq üçün sistem saatını geri çəkməyin və ya imza yoxlamalarını söndürməyin. Tətbiqi hələ dəstəkləyən kəsdən icazəli artefakt alın və platformanın nə qəbul etdiyini onlar desin. Müəyyən bir buraxılışın XP üçün sonuncu olduğunu iddia edən yazıları quraşdırma hədəfi kimi deyil, tarix kimi qəbul edin, çünki əsl tələb tətbiqdən asılıdır; qoruma işi həqiqətən lazımdırsa, onu istehsalat girişindən uzaq təcrid olunmuş seqmentdə saxlayın və nə üçün mövcud olduğunu sənədləşdirin.