Dvě VPN najednou? Nejprve vymezte hranici koncového bodu

Dva současně připojení klienti VPN umisťují jeden koncový bod do dvou domén prostředků, a to je otázka autorizace dříve než otázka směrování. To, že tunely jsou šifrované, nic neříká o tom, zda aplikace na tomto notebooku mají dosáhnout na obě sítě, ani zda protějšek jedné sítě má přes něj dosáhnout na druhou. Projděte níže uvedené kontroly popořadě a zastavte se u první, na kterou nikdo nedokáže odpovědět. Schválit překryv bez těchto odpovědí je způsob, jak se pohodlné uspořádání tiše stane mostem.

Začněte od skutečné práce: které prostředky v každé síti člověk potřebuje a povolují oba vlastníci sítí současný přístup z jednoho zařízení?

Ověřte, kdo překryv povoluje

Dvě sítě, z nichž každá ověřuje stejného uživatele, mají stále oddělené vlastníky a tito vlastníci mohou mít neslučitelné předpoklady o zařízeních, která jsou připojena i jinde. Zeptejte se obou, než cokoli navrhnete. Zásada vzdáleného přístupu psaná pro izolované notebooky často nemá vůbec žádnou odpověď pro stroj, který je současně uvnitř partnerské sítě.

Získejte odpověď písemně a uložte ji k záznamu o změně. Pokud jedna strana řekne ne, zbytek tohoto seznamu je akademický a ušetřili jste si revizi návrhu.

Nezacházejte se dvěma rozhraními jako se směrovačem

Dvě aktivní rozhraní automaticky nedělají ze zařízení směrovač ani ethernetový most. Ověřte podporované nastavení přesměrování, mostu, NAT a proxy dříve, než něco popíšete jako tranzitní cestu, a zachovejte případné nesouvisející povolené směrovací povinnosti, které zařízení již má. Notebook, na kterém běží místní kontejnerová síť nebo hostitel virtualizace, zde není neutrálním pozorovatelem.

Pokud je požadavkem skutečně tranzit z A do B, patří na síťové zařízení s vlastníkem, auditovatelnou sadou pravidel a procesem změn. Náhodné provedení přes pracovní stanici je výsledek, kterému má tato kontrola zabránit.

Berte koncový bod také jako přístupový bod

Zařízení není jen klientem obou sítí, je hostitelem, který nabízí služby. Povolená služba na tomto stroji může být dosažitelná z protějšku VPN podle hostitelského firewallu a zásad klienta, takže vystavený port správy na notebooku je nyní součástí útočné plochy vzdálené sítě. Vyjmenujte, co naslouchá, než začnete diskutovat o trasách, protože jeden navázaný ladicí port převáží jakoukoli zásadu tunelu. Držte hostitelské služby v mezích jejich zamýšlených zdrojů a účelů.

Ke každé vzdálené síti přistupujte jako k doméně prostředků s výslovnými oprávněními, místo abyste dávali širokou důvěru proto, že provoz dorazil šifrovaný. Architektura nulové důvěry NIST odděluje autorizaci prostředků od implicitní důvěry v síťové umístění, a to je přesně ten rozdíl, který notebook se dvěma tunely rozmazává.

Položte si ještě jednu otázku, dokud jste tady: kdyby byla místní služba nebo povolená aplikace kompromitována, které prostředky a přihlašovací údaje by se z tohoto předmostí staly dosažitelnými? Odpověď zapište, protože je to skutečné prohlášení o riziku pro celý návrh.

Zvolte pracovní hranici, která odpovídá modelu hrozeb

Směrování podle aplikací může přiřazovat programy zamýšleným tunelům a samostatné pracovní profily, uživatelé nebo podporované virtuální pracovní prostory mohou podle platformy přidat hranice identity a dat. Přizpůsobte hranici modelu hrozeb, ne ukázce: rozdělení směrování bez rozdělení identity stále nechává jeden profil prohlížeče držet obě relace.

Síťový jmenný prostor izoluje směrování a stav sítě; neizoluje každou cestu v systému souborů, schránku ani agenta přihlašovacích údajů. Virtuální stroj nebo spravovaný profil rovněž potřebují promyšlenou zásadu sdílení a správy hostitele. Zaznamenejte, které složky, pomocníci pro ověřování a cesty kopírování a vkládání zůstávají dostupné, protože to jsou kanály, které data mezi oběma doménami skutečně přenášejí.

U následné práce je úmyslné přepnutí obvykle jednodušší než udržovat současný přístup. Dokončete závislou operaci a poté ověřte identitu a trasu dalšího pracovního prostoru, místo abyste nechávali nástroje na pozadí připoutané k nejednoznačnému kontextu.

Napište schválení jako úkol, ne jako heslo

Záznam o schválení by měl znít jako úkol: pracovní prostor podpory smí dosáhnout na konzoli služeb sítě A a portál požadavků sítě B, bez povoleného přesměrování z A do B, bez sdíleného agenta přihlašovacích údajů a bez automatické synchronizace souborů. Každá část té věty odpovídá něčemu, co lze nastavit a otestovat.

Poté ověřte negativní případy, ne jen pozitivní. Zkuste dosáhnout na prostředek, který má být mimo hranici, potvrďte, že hostitelská služba neodpovídá z druhé strany, a zkontrolujte, že pomocník pro přihlašovací údaje potichu neobsluhuje obě domény.

Uchovávejte záznam u zařízení, ne jen v tiketu, aby další člověk, který uspořádání zdědí, věděl, která hranice byla úmyslná. Notebook se dvěma tunely a bez psané hranice nelze rozeznat od chybné konfigurace.