Zwei VPNs gleichzeitig? Grenze des Endpunkts zuerst definieren

Zwei gleichzeitig verbundene VPN-Clients bringen einen Endpunkt in zwei Ressourcendomänen, und das ist eine Autorisierungsfrage, bevor es eine Routingfrage ist. Dass die Tunnel verschlüsselt sind, sagt nichts darüber aus, ob die Anwendungen auf diesem Laptop beide Netze erreichen dürfen oder ob ein Peer des einen Netzes über ihn das andere erreichen darf. Gehen Sie die folgenden Prüfungen der Reihe nach durch und halten Sie bei der ersten an, die niemand beantworten kann. Die Überlappung ohne diese Antworten zu genehmigen, ist der Weg, auf dem eine bequeme Regelung still zu einer Brücke wird.

Beginnen Sie bei der tatsächlichen Arbeit: Welche Ressourcen in welchem Netz braucht die Person, und erlauben beide Netzeigentümer gleichzeitigen Zugriff von einem Gerät?

Prüfen Sie, wer die Überlappung erlaubt

Zwei Netze, die denselben Benutzer jeweils authentifizieren, haben trotzdem getrennte Eigentümer, und diese Eigentümer können unvereinbare Annahmen über Geräte haben, die auch anderswo angebunden sind. Fragen Sie beide, bevor Sie irgendetwas entwerfen. Eine Fernzugriffsrichtlinie, die für isolierte Laptops geschrieben wurde, hat für einen Rechner, der gleichzeitig in einem Partnernetz steht, oft gar keine Antwort.

Holen Sie die Antwort schriftlich ein und bewahren Sie sie beim Änderungsdatensatz auf. Sagt eine Seite nein, ist der Rest dieser Liste akademisch, und Sie haben sich eine Designprüfung erspart.

Behandeln Sie zwei Schnittstellen nicht als Router

Zwei aktive Schnittstellen machen das Gerät nicht automatisch zu einem Router oder einer Ethernet-Brücke. Prüfen Sie die unterstützte Weiterleitungs-, Bridge-, NAT- und Proxy-Konfiguration, bevor Sie etwas als Transitpfad bezeichnen, und erhalten Sie alle unabhängigen autorisierten Routingpflichten, die das Gerät bereits hat. Ein Laptop, auf dem ein lokales Containernetz oder ein Virtualisierungs-Host läuft, ist hier kein neutraler Beobachter.

Wenn die Anforderung wirklich Transit von A nach B ist, gehört sie auf ein Netzgerät mit Eigentümer, prüfbarem Regelsatz und Änderungsprozess. Sie versehentlich über eine Workstation zu erledigen, ist genau das Ergebnis, das diese Prüfung verhindern soll.

Behandeln Sie den Endpunkt auch als Zugangspunkt

Das Gerät ist nicht nur Client beider Netze, sondern ein Host, der Dienste anbietet. Ein erlaubter Dienst auf dieser Maschine kann je nach Host-Firewall und Client-Richtlinie von einem VPN-Peer erreichbar sein, also ist ein offener Verwaltungsport auf dem Laptop jetzt Teil der Angriffsfläche des entfernten Netzes. Zählen Sie auf, was lauscht, bevor Sie über Routen streiten, denn ein gebundener Debug-Port wiegt schwerer als jede Tunnelrichtlinie. Halten Sie Host-Dienste auf ihre vorgesehenen Quellen und Zwecke beschränkt.

Behandeln Sie jedes entfernte Netz als Ressourcendomäne mit ausdrücklichen Berechtigungen, statt breites Vertrauen zu gewähren, weil der Verkehr verschlüsselt ankam. NISTs Zero-Trust-Architektur trennt Ressourcenautorisierung vom impliziten Vertrauen in den Netzstandort, und genau diese Unterscheidung verwischt ein Laptop mit zwei Tunneln.

Stellen Sie noch eine Frage, solange Sie hier sind: Wenn ein lokaler Dienst oder eine autorisierte Anwendung kompromittiert würde, welche Ressourcen und Anmeldedaten wären von diesem Standpunkt aus erreichbar? Schreiben Sie die Antwort auf, denn sie ist die eigentliche Risikoaussage für das gesamte Design.

Wählen Sie die Arbeitsgrenze, die zum Bedrohungsmodell passt

Pro-App-Routing kann Programme den vorgesehenen Tunneln zuweisen, und getrennte Arbeitsprofile, Benutzer oder unterstützte virtuelle Arbeitsbereiche können je nach Plattform Identitäts- und Datengrenzen hinzufügen. Passen Sie die Grenze an das Bedrohungsmodell an, nicht an die Demo: eine Routingaufteilung ohne Identitätsaufteilung lässt immer noch ein Browserprofil beide Sitzungen halten.

Ein Netzwerk-Namespace isoliert Routing und Netzzustand; er isoliert nicht jeden Dateisystempfad, die Zwischenablage oder den Anmeldedaten-Agenten. Eine VM oder ein verwaltetes Profil braucht ebenfalls eine bewusste Freigabe- und Host-Administrationsrichtlinie. Halten Sie fest, welche Ordner, Authentifizierungshilfen und Kopierpfade verfügbar bleiben, denn das sind die Kanäle, die tatsächlich Daten zwischen den beiden Domänen tragen.

Für sequenzielle Arbeit ist ein bewusster Wechsel meist einfacher als gleichzeitiger Zugriff. Schließen Sie den abhängigen Vorgang ab, und prüfen Sie dann Identität und Route des nächsten Arbeitsbereichs, statt Hintergrundwerkzeuge an einen unklaren Kontext gebunden zu lassen.

Schreiben Sie die Genehmigung als Aufgabe, nicht als Slogan

Ein Genehmigungsdatensatz sollte wie eine Aufgabe klingen: Der Support-Arbeitsbereich darf die Dienstkonsole von Netz A und das Ticketsystem von Netz B erreichen, ohne autorisierte Weiterleitung von A nach B, ohne gemeinsamen Anmeldedaten-Agenten und ohne automatische Dateisynchronisierung. Jeder Teilsatz darin entspricht etwas, das Sie konfigurieren und testen können.

Prüfen Sie dann die negativen Fälle, nicht nur die positiven. Versuchen Sie, eine Ressource zu erreichen, die außerhalb der Grenze liegen sollte, bestätigen Sie, dass der Host-Dienst nicht von der anderen Seite antwortet, und prüfen Sie, dass die Anmeldedatenhilfe nicht still beide Domänen bedient.

Bewahren Sie den Datensatz beim Gerät auf, nicht nur im Ticket, damit die nächste Person, die die Regelung übernimmt, weiß, welche Grenze beabsichtigt war. Ein Laptop mit zwei Tunneln und ohne schriftliche Grenze ist von einer Fehlkonfiguration nicht zu unterscheiden.