Два VPN едновременно? Първо определете границата на крайната точка

Два VPN клиента, свързани едновременно, поставят една крайна точка в два домейна на ресурси и това е въпрос на оторизация, преди да е въпрос на маршрутизация. Шифроването на тунелите не казва нищо за това дали приложенията на този лаптоп трябва да достигат до двете мрежи, нито дали партньор на едната мрежа може да достигне другата през него. Минете през проверките по-долу по ред и спрете на първата, на която никой не може да отговори. Одобряването на припокриването без тези отговори е начинът, по който удобна уредба тихо се превръща в мост.

Започнете от действителната работа: кои ресурси във всяка мрежа са нужни на човека и допускат ли и двамата собственици на мрежите едновременен достъп от едно устройство?

Проверете кой разрешава припокриването

Две мрежи, всяка от които удостоверява един и същ потребител, все пак имат отделни собственици и тези собственици може да имат несъвместими допускания за устройства, свързани също и другаде. Попитайте и двамата, преди да проектирате каквото и да е. Политика за отдалечен достъп, написана за изолирани лаптопи, често няма никакъв отговор за машина, която е едновременно в партньорска мрежа.

Вземете отговора писмено и го пазете заедно със записа за промяната. Ако едната страна каже не, останалото от този списък е академично и вие сте си спестили преглед на проекта.

Не се отнасяйте към два интерфейса като към рутер

Два активни интерфейса не правят устройството автоматично рутер или Ethernet мост. Проверете поддържаните настройки за препращане, мостове, NAT и прокси, преди да наречете нещо транзитен път, и запазете всякакви несвързани разрешени задължения за маршрутизация, които устройството вече има. Лаптоп, който върти локална контейнерна мрежа или хост за виртуализация, тук не е неутрален наблюдател.

Ако изискването наистина е транзит от A към B, мястото му е на мрежово устройство със собственик, проверим набор от правила и процес за промени. Случайното му осъществяване през работна станция е резултатът, за чието предотвратяване съществува тази проверка.

Отнасяйте се към крайната точка и като към точка за достъп

Устройството не е само клиент на двете мрежи, а хост, който предлага услуги. Разрешена услуга на тази машина може да е достъпна от партньор по VPN според защитната стена на хоста и политиката на клиента, така че отворен порт за управление на лаптопа вече е част от повърхността за атака на отдалечената мрежа. Избройте какво слуша, преди да спорите за маршрути, защото един вързан порт за отстраняване на грешки е по-важен от всяка политика на тунела. Дръжте услугите на хоста в границите на предназначените им източници и цели.

Отнасяйте се към всяка отдалечена мрежа като към домейн на ресурси с изрични разрешения, вместо да давате широко доверие, защото трафикът е пристигнал шифрован. Архитектурата на нулево доверие на NIST отделя оторизацията на ресурси от неявното доверие в мрежовото местоположение и това е точно разликата, която лаптоп с два тунела размива.

Задайте още един въпрос, докато сте тук: ако локална услуга или разрешено приложение бъде компрометирано, кои ресурси и удостоверения биха станали достъпни от този плацдарм? Запишете отговора, защото това е истинското изявление за риска за целия проект.

Изберете работната граница, която пасва на модела на заплаха

Маршрутизацията по приложения може да разпределя програми към предвидени тунели, а отделни работни профили, потребители или поддържани виртуални работни пространства могат да добавят граници за самоличност и данни в зависимост от платформата. Съобразете границата с модела на заплаха, а не с демонстрацията: разделяне на маршрутизацията без разделяне на самоличността все още оставя един профил на браузъра да държи и двете сесии.

Мрежовото пространство от имена изолира маршрутизацията и състоянието на мрежата; то не изолира всеки път във файловата система, клипборда или агента за удостоверения. Виртуална машина или управляван профил също се нуждаят от обмислена политика за споделяне и администриране на хоста. Запишете кои папки, помощни средства за удостоверяване и пътища за копиране и поставяне остават налични, защото именно тези канали действително пренасят данни между двата домейна.

За последователна работа умишленото превключване обикновено е по-просто от поддържането на едновременен достъп. Завършете зависимата операция и след това проверете самоличността и маршрута на следващото работно пространство, вместо да оставяте фонови инструменти, привързани към двусмислен контекст.

Напишете одобрението като задача, а не като лозунг

Записът за одобрение трябва да се чете като задача: работното пространство за поддръжка може да достига конзолата за услуги на мрежа A и портала за заявки на мрежа B, без разрешено препращане от A към B, без споделен агент за удостоверения и без автоматична синхронизация на файлове. Всяка част от това изречение съответства на нещо, което можете да настроите и тествате.

След това проверете отрицателните случаи, а не само положителните. Опитайте да достигнете ресурс, който трябва да е извън границата, потвърдете, че услугата на хоста не отговаря от другата страна, и проверете дали помощното средство за удостоверения не обслужва тихо и двата домейна.

Пазете записа с устройството, а не само в заявката, така че следващият човек, който наследи схемата, да знае коя граница е била умишлена. Лаптоп с два тунела и без записана граница е неразличим от грешна конфигурация.