Два VPN адначасова? Спачатку вызначце мяжу канчатковага пункта

Два VPN-кліенты, падключаныя адначасова, змяшчаюць адзін канчатковы пункт у дзве прасторы рэсурсаў, і гэта пытанне аўтарызацыі раней, чым пытанне маршрутызацыі. Шыфраванне тунеляў нічога не кажа пра тое, ці павінны праграмы на гэтым ноўтбуку дасягаць абедзвюх сетак, ці можа вузел-партнёр адной сеткі дасягнуць другой праз яго. Прайдзіце праверкі ніжэй па парадку і спыніцеся на першай, на якую ніхто не можа адказаць. Ухваленне перакрыцця без гэтых адказаў — гэта шлях, якім зручная дамоўленасць ціха ператвараецца ў мост.

Пачніце з фактычнай працы: якія рэсурсы ў кожнай сетцы патрэбны чалавеку і ці дазваляюць абодва ўладальнікі сетак адначасовы доступ з адной прылады?

Праверце, хто дазваляе перакрыццё

Дзве сеткі, кожная з якіх аўтэнтыфікуе аднаго і таго ж карыстальніка, усё роўна маюць асобных уладальнікаў, і гэтыя ўладальнікі могуць мець несумяшчальныя здагадкі пра прылады, падключаныя таксама ў іншым месцы. Спытайце абодвух, перш чым нешта праектаваць. Палітыка аддаленага доступу, напісаная для ізаляваных ноўтбукаў, часта зусім не мае адказу для машыны, якая адначасова знаходзіцца ў сетцы партнёра.

Атрымайце адказ у пісьмовым выглядзе і захоўвайце яго разам з запісам пра змену. Калі адзін бок кажа не, рэшта гэтага спіса застаецца тэарэтычнай, і вы зэканомілі сабе разгляд праекта.

Не стаўцеся да двух інтэрфейсаў як да маршрутызатара

Два актыўныя інтэрфейсы не робяць прыладу аўтаматычна маршрутызатарам або Ethernet-мостам. Праверце падтрымку перасылкі, маставання, NAT і наладкі проксі, перш чым называць нешта транзітным шляхам, і захавайце любыя незвязаныя дазволеныя абавязкі маршрутызацыі, якія прылада ўжо мае. Ноўтбук, на якім працуе лакальная сетка кантэйнераў або хост віртуалізацыі, тут не з'яўляецца нейтральным назіральнікам.

Калі патрабаванне сапраўды ў транзіце ад A да B, яго месца — на сеткавай прыладзе з уладальнікам, правяральным наборам правілаў і працэсам змен. Выпадковае выкананне гэтага праз працоўную станцыю — менавіта той вынік, для прадухілення якога існуе гэтая праверка.

Стаўцеся да канчатковага пункта і як да пункта доступу

Прылада — не проста кліент абедзвюх сетак, а хост, які прапануе паслугі. Дазволеная паслуга на гэтай машыне можа быць дасягальнай з боку партнёра VPN згодна з файрволам хоста і палітыкай кліента, таму адкрыты парт кіравання на ноўтбуку цяпер частка паверхні атакі аддаленай сеткі. Пералічыце, што слухае, перш чым спрачацца пра маршруты, бо адзін звязаны парт адладкі важнейшы за любую палітыку тунеля. Трымайце паслугі хоста ў межах іхніх мэтавых крыніц і прызначэння.

Стаўцеся да кожнай аддаленай сеткі як да прасторы рэсурсаў з яўнымі дазволамі, а не давайце шырокае давер'е таму, што трафік прыйшоў шыфраваным. Архітэктура нулявога даверу ад NIST аддзяляе аўтарызацыю рэсурсаў ад няяўнага даверу да сеткавага размяшчэння, і гэта менавіта тая розніца, якую размывае ноўтбук з двума тунелямі.

Задайце яшчэ адно пытанне, пакуль вы тут: калі б лакальная паслуга або дазволеная праграма былі скампраметаваны, якія рэсурсы і ўліковыя дадзеныя сталі б дасягальнымі з гэтага плацдарма? Запішыце адказ, бо гэта сапраўдная заява пра рызыку для ўсяго праекта.

Выберыце мяжу працы, якая адпавядае мадэлі пагроз

Маршрутызацыя па праграмах можа прызначаць праграмы патрэбным тунелям, а асобныя працоўныя профілі, карыстальнікі або падтрыманыя віртуальныя працоўныя прасторы могуць дадаць межы ідэнтычнасці і даных у залежнасці ад платформы. Суадносьце мяжу з мадэллю пагроз, а не з дэманстрацыяй: падзел маршрутызацыі без падзелу ідэнтычнасці ўсё роўна пакідае адзін профіль браўзера з абодвума сеансамі.

Прастора імёнаў сеткі ізалюе маршрутызацыю і стан сеткі; яна не ізалюе кожны шлях файлавай сістэмы, буфер абмену або агент уліковых даных. Віртуальная машына або кіраваны профіль гэтак жа патрабуюць прадуманай палітыкі сумеснага доступу і кіравання хостам. Запішыце, якія папкі, памочнікі аўтэнтыфікацыі і шляхі капіравання і ўстаўкі застаюцца даступнымі, бо менавіта гэтыя каналы фактычна пераносяць даныя паміж дзвюма прасторамі.

Для паслядоўнай працы наўмыснае пераключэнне звычайна прасцей за падтрыманне адначасовага доступу. Завяршыце залежную аперацыю, а затым праверце ідэнтычнасць і маршрут наступнай працоўнай прасторы замест таго, каб пакідаць фонавыя інструменты прывязанымі да неадназначнага кантэксту.

Запішыце ўхваленне як задачу, а не як лозунг

Запіс пра ўхваленне павінен чытацца як задача: працоўная прастора падтрымкі можа дасягаць кансолі паслуг сеткі A і партала заявак сеткі B, без дазволенай перасылкі ад A да B, без агульнага агента ўліковых даных і без аўтаматычнай сінхранізацыі файлаў. Кожная частка гэтага сказа адпавядае чамусьці, што можна наладзіць і праверыць.

Затым праверце адмоўныя выпадкі, а не толькі станоўчыя. Паспрабуйце дасягнуць рэсурсу, які павінен быць па-за мяжой, пераканайцеся, што паслуга хоста не адказвае з іншага боку, і праверце, што памочнік уліковых даных моўчкі не абслугоўвае абедзве прасторы.

Трымайце запіс пры прыладзе, а не толькі ў заяўцы, каб наступны чалавек, які атрымае гэтую схему, ведаў, якая мяжа была наўмыснай. Ноўтбук з двума тунелямі і без запісанай мяжы немагчыма адрозніць ад памылковай наладкі.