Poseu la passarel·la VPN al costat de Windows XP, no a dins

En algun lloc de l’edifici hi ha una màquina que executa una aplicació que ningú pot substituir, en un sistema operatiu que no s’hauria de connectar a res. Sortir de l’adaptador de xarxa d’aquest amfitrió és la manera més ràpida de veure on pertany el túnel. En la majoria de dissenys no pertany gens a l’amfitrió. Moveu-lo un salt enfora, a una passarel·la mantinguda, i el problema antic es redueix a l’aplicació amb què va començar.

Comenceu per l’adaptador de l’amfitrió, no per un client VPN

Obriu les propietats de l’adaptador i doneu a l’amfitrió una adreça fixa en un segment petit i dedicat, amb la passarel·la com a ruta per defecte. Llavors l’amfitrió no necessita cap client de túnel, cap credencial de túnel ni cap entrada de la taula de rutes que arribi a la xarxa corporativa més àmplia. Si l’aplicació necessita una subxarxa remota, afegiu exactament aquesta única ruta.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Aquesta ordre fixa una sola destinació a la passarel·la i deixa la resta sense ruta, que és la forma que voleu. Confirmeu el resultat amb route print en lloc de confiar en el codi de sortida. Després comproveu que l’aplicació encara resol el nom del seu servidor, perquè un amfitrió antic amb un resolutor trencat sembla exactament una fallada de xarxa, i arreglar el resolutor és una feina de cinc minuts mentre que reconstruir una aplicació després d’un canvi de xarxa equivocat no ho és. Cada destinació a què l’amfitrió no pot arribar és una cosa menys que es pot persuadir una pila de xarxa antiga d’atacar.

Poseu el túnel en maquinari que pugueu actualitzar

La passarel·la vol dues interfícies: una que miri al segment de l’amfitrió i una que miri on viu l’aplicació, amb el túnel acabant a la segona. Aquest dispositiu pot rebre actualitzacions de firmware, substituir la seva configuració criptogràfica i registrar fluxos sense que ningú toqui la màquina antiga. El seu proveïdor també publica correccions per a la implementació del túnel, que l’amfitrió mai no rebrà. Dues màquines i una data límit no són raó per copiar una recepta de secret estàtic d’un missatge de fòrum.

Doneu a cada passarel·la la seva pròpia identitat de parell en lloc de clonar una configuració de client per tota una flota. Quan es substitueix una unitat, revoqueu la identitat antiga en el mateix moment que poseu la nova en línia, o acabeu amb dues còpies no controlades que s’autentiquen al mateix punt final. Emmagatzemeu les claus on les espera el pla de gestió de la passarel·la, tracteu una còpia de seguretat de la configuració com un secret i reviseu qui pot enviar aquesta configuració, perquè ara decideix a què pot arribar l’amfitrió antic.

Permeteu serveis, no xarxes

Escriviu la política en termes de protocol, port i direcció entre els dos enllaços. Un sol port permès cap a una sola adreça d’aplicació és la resposta habitual, i un camí administratiu a través d’un amfitrió de salt cobreix la resta.

L’administració remota de l’amfitrió antic no hauria de viatjar per la mateixa regla que l’aplicació, i provar el rebuig importa tant com escriure la regla. Envieu una petició des de l’amfitrió cap a una destinació que espereu que es rebutgi i confirmeu que el rebuig ve de la política i no d’una ruta absent. Registreu els fluxos que permeteu mentre el disseny és nou, perquè pugueu veure què fa servir realment l’aplicació i no què afirma la seva documentació. Fusionar dues subxarxes perquè un tutorial pont va semblar més curt és com un segment antic es converteix silenciosament en un punt de suport.

No exposeu el receptor antic directament a internet com a drecera al voltant de la passarel·la. Manteniu el camí administratiu separat del camí de l’aplicació perquè el compromís d’un no lliuri l’altre. Una regla que mai no s’exerceix és una regla que ningú no ha verificat, i per això la destinació rebutjada pertany a la prova d’acceptació.

La recuperació ha de funcionar sense el túnel

Decidiu qui actualitza i recupera la passarel·la abans de la primera interrupció i assegureu-vos que aquesta persona hi pugui arribar sense el túnel que hi acaba. L’accés per consola, un port de gestió local o un camí fora de banda compten tots com a respostes. Una passarel·la que només es pot configurar a través del túnel que proporciona és un parany que espera pacientment un mal enviament de firmware.

Escriviu el manual per a la fallada que realment trobareu: túnel caigut, passarel·la morta, disc de l’amfitrió desaparegut. Manteniu la imatge de recuperació de l’amfitrió sota qualsevol acord de suport que encara existeixi, i recordeu que una restauració també restaura l’estat del programari i les credencials dins d’aquesta imatge. Restaureu primer al segment aïllat, confirmeu que l’aplicació s’inicia i només després torneu a connectar res; quan la passarel·la canviï, actualitzeu el manual i l’inventari a la mateixa sessió.

Certificats, rellotges i avisos de signatura

La caducitat del certificat d’un instal·lador no prediu per si sola què dirà avui una comprovació de signatura. La guia de Microsoft sobre marques de temps d’Authenticode explica que una marca de temps pot mantenir una signatura verificable després que caduqui el certificat de signatura, i la validació encara depèn de la signatura, la cadena de confiança i el verificador que fa la feina. Dues màquines amb magatzems de confiança diferents poden, doncs, discrepar sobre el mateix fitxer. Un signant caducat no és prova que un binari sigui maliciós, i una signatura vàlida no és prova que el programari es mantingui.

No moveu el rellotge del sistema enrere ni desactiveu les comprovacions de signatura per fer funcionar un instal·lador antic. Obtingueu un artefacte autoritzat de qui encara doni suport a l’aplicació i deixeu que diguin què accepta la plataforma. Tracteu les publicacions que afirmen que una compilació concreta va ser l’última per a XP com a història, no com a objectiu d’instal·lació, perquè el requisit real depèn de l’aplicació; si la feina de preservació és realment necessària, manteniu-la en un segment aïllat lluny de l’accés de producció i documenteu per què existeix.