Dwy VPN ar unwaith? Diffiniwch ffin y pwynt terfyn yn gyntaf

Mae dau gleient VPN wedi’u cysylltu ar unwaith yn rhoi un pwynt terfyn mewn dau barth adnodd, a chwestiwn awdurdodi yw hyn yn gynt na chwestiwn llwybro. Nid yw’r twneli’n cael eu hamgryptio yn dweud dim am a ddylai’r cymwysiadau ar y gliniadur hwnnw allu cyrraedd y ddwy rwydwaith, nac a ddylai cymar un rhwydwaith allu cyrraedd y llall drwyddo. Ewch drwy’r gwiriadau isod yn eu trefn, a stopiwch ar yr un cyntaf na all neb ei ateb. Cymeradwyo’r gorgyffwrdd heb yr atebion hynny yw’r ffordd y mae trefniant cyfleus yn troi’n dawel yn bont.

Dechreuwch o’r gwaith gwirioneddol: pa adnoddau ym mhob rhwydwaith sydd eu hangen ar y person, ac a yw perchnogion y ddwy rwydwaith yn caniatáu mynediad ar yr un pryd o un ddyfais?

Gwiriwch pwy sy’n caniatáu’r gorgyffwrdd

Mae gan ddwy rwydwaith sy’n dilysu’r un defnyddiwr o hyd berchnogion ar wahân, a gall y perchnogion hynny fod â rhagdybiaethau anghydnaws am ddyfeisiau sydd hefyd ynghlwm yn rhywle arall. Gofynnwch i’r ddau cyn dylunio unrhyw beth. Yn aml nid oes gan bolisi mynediad o bell a ysgrifennwyd ar gyfer gliniaduron ynysig unrhyw ateb o gwbl i beiriant sydd ar yr un pryd y tu mewn i rwydwaith partner.

Cewch yr ateb yn ysgrifenedig a’i gadw gyda’r cofnod newid. Os yw un ochr yn dweud na, mae gweddill y rhestr hon yn academaidd, ac rydych wedi arbed adolygiad dylunio i chi’ch hun.

Peidiwch â thrin dau ryngwyneb fel llwybrydd

Nid yw dau ryngwyneb gweithredol yn gwneud y ddyfais yn llwybrydd nac yn bont Ethernet yn awtomatig. Gwiriwch y ffurfweddiad anfon ymlaen, pontio, NAT a phrosi a gefnogir cyn disgrifio unrhyw beth fel llwybr tramwy, a chadwch unrhyw ddyletswyddau llwybro awdurdodedig diberthnasol sydd eisoes gan y ddyfais. Nid yw gliniadur sy’n rhedeg rhwydwaith cynhwysydd lleol neu’n westai rhithwiryddoli yn arsylwr niwtral yma.

Os mai tramwy o A i B yw’r gofyniad mewn gwirionedd, lle’r hynny ar ddyfais rwydwaith sydd â pherchennog, set rheolau archwiladwy a phroses newid. Ei wneud ar hap drwy waithfa yw’r canlyniad y mae’r gwiriad hwn yn bodoli i’w atal.

Triniwch y pwynt terfyn fel pwynt mynediad hefyd

Nid cleient i’r ddwy rwydwaith yn unig yw’r ddyfais; mae’n westeiwr sy’n cynnig gwasanaethau. Gall gwasanaeth a ganiateir ar y peiriant hwnnw fod yn gyrhaeddadwy o gymar VPN yn ôl wal dân y gwesteiwr a pholisi’r cleient, felly mae porthladd rheoli agored ar y gliniadur bellach yn rhan o arwyneb ymosod y rhwydwaith o bell. Rhestrwch beth sy’n gwrando cyn dadlau am lwybrau, oherwydd mae un porthladd dadfygio yn gorbwyso unrhyw bolisi twnnel. Cadwch wasanaethau’r gwesteiwr o fewn eu ffynonellau a’u dibenion bwriadedig.

Triniwch bob rhwydwaith o bell fel parth adnodd â chaniatadau pendant yn hytrach na rhoi ymddiriedaeth eang am fod y traffig wedi cyrraedd yn amgryptiedig. Pensaernïaeth dim-ymddiriedaeth NIST yn gwahanu awdurdodi adnoddau oddi wrth ymddiriedaeth ymhlyg yn lleoliad y rhwydwaith, a dyna’n union y gwahaniaeth y mae gliniadur â dau dwnnel yn ei anegluro.

Gofynnwch un cwestiwn arall tra byddwch yma: pe bai gwasanaeth lleol neu gymhwysiad awdurdodedig yn cael ei gyfaddawdu, pa adnoddau a chredydu a fyddai’n gyrhaeddadwy o’r man hwnnw? Ysgrifennwch yr ateb, oherwydd dyma’r datganiad risg gwirioneddol ar gyfer y dyluniad cyfan.

Dewiswch y ffin waith sy’n cyd-fynd â’r model bygythiad

Gall llwybro fesul cymhwysiad bennu rhaglenni i dwneli bwriadedig, a gall proffiliau gwaith, defnyddwyr neu weithleoedd rhithwir a gefnogir ychwanegu ffiniau hunaniaeth a data yn dibynnu ar y platfform. Cyferbynwch y ffin â’r model bygythiad yn hytrach na’r demo: mae hollti llwybro heb hollti hunaniaeth yn gadael un proffil porwr yn dal y ddwy sesiwn o hyd.

Mae namespace rhwydwaith yn ynysu llwybro a chyflwr y rhwydwaith; nid yw’n ynysu pob llwybr system ffeiliau, clipfwrdd nac asiant credydu. Mae peiriant rhithwir neu broffil a reolir yr un modd yn angen polisi rhannu a gweinyddu gwesteiwr bwriadol. Cofnodwch pa ffolderi, cynorthwywyr dilysu a llwybrau copïo a gludo sy’n parhau ar gael, oherwydd y sianeli hynny sy’n cario data rhwng y ddau barth mewn gwirionedd.

Ar gyfer gwaith dilynol, mae newid bwriadol fel arfer yn symlach na chynnal mynediad ar yr un pryd. Gorffennwch y gweithrediad dibynnol, yna gwiriwch hunaniaeth a llwybr y gweithle nesaf yn hytrach na gadael offer cefndir ynghlwm wrth gyd-destun amwys.

Ysgrifennwch y cymeradwyaeth fel tasg, nid slogan

Dylai cofnod cymeradwyaeth ddarllen fel tasg: caiff gweithle cymorth gyrraedd consol gwasanaeth Rhwydwaith A a phorthol docynnau Rhwydwaith B, heb anfon ymlaen awdurdodedig o A i B, heb asiant credydu a rennir ac heb gydamseru ffeiliau awtomatig. Mae pob cymal yn y frawddeg honno yn cyfateb i rywbeth y gallwch ei ffurfweddu a’i brofi.

Yna gwiriwch yr achosion negyddol, nid y rhai cadarnhaol yn unig. Ceisiwch gyrraedd adnodd a ddylai fod y tu allan i’r ffin, cadarnhewch nad yw gwasanaeth y gwesteiwr yn ateb o’r ochr arall, a gwiriwch nad yw’r cynorthwyydd credydu yn gwasanaethu’r ddau barth yn ddistaw.

Cadwch y cofnod gyda’r ddyfais, nid yn y tocyn yn unig, fel y bydd y person nesaf sy’n etifeddu’r trefniant yn gwybod pa ffin oedd yn fwriadol. Nid oes modd gwahaniaethu gliniadur â dau dwnnel a heb ffin ysgrifenedig oddi wrth ffurfweddiad anghywir.