Δύο VPN ταυτόχρονα; Καθορίστε πρώτα τα όρια του τελικού σημείου

Δύο πελάτες VPN συνδεδεμένοι ταυτόχρονα βάζουν ένα τελικό σημείο σε δύο τομείς πόρων, και αυτό είναι ζήτημα εξουσιοδότησης πριν γίνει ζήτημα δρομολόγησης. Το ότι οι σήραγγες είναι κρυπτογραφημένες δεν λέει τίποτα για το αν οι εφαρμογές σε αυτόν τον φορητό υπολογιστή πρέπει να φτάνουν και στα δύο δίκτυα, ούτε για το αν ένας ομότιμος του ενός δικτύου πρέπει να φτάνει στο άλλο μέσω αυτού. Περάστε τους ελέγχους παρακάτω με τη σειρά και σταματήστε στον πρώτο που κανείς δεν μπορεί να απαντήσει. Το να εγκρίνετε την επικάλυψη χωρίς αυτές τις απαντήσεις είναι ο τρόπος με τον οποίο μια βολική ρύθμιση γίνεται σιωπηλά γέφυρα.

Ξεκινήστε από την πραγματική εργασία: ποιους πόρους σε κάθε δίκτυο χρειάζεται το άτομο, και επιτρέπουν και οι δύο ιδιοκτήτες δικτύων ταυτόχρονη πρόσβαση από μία συσκευή;

Ελέγξτε ποιος επιτρέπει την επικάλυψη

Δύο δίκτυα που το καθένα πιστοποιεί τον ίδιο χρήστη έχουν ακόμη ξεχωριστούς ιδιοκτήτες, και αυτοί οι ιδιοκτήτες μπορεί να έχουν ασύμβατες παραδοχές για συσκευές που είναι επίσης συνδεδεμένες αλλού. Ρωτήστε και τους δύο πριν σχεδιάσετε οτιδήποτε. Μια πολιτική απομακρυσμένης πρόσβασης γραμμένη για απομονωμένους φορητούς υπολογιστές συχνά δεν έχει καμία απάντηση για μηχάνημα που βρίσκεται ταυτόχρονα μέσα σε δίκτυο συνεργάτη.

Πάρτε την απάντηση γραπτώς και κρατήστε την μαζί με το αρχείο αλλαγής. Αν η μία πλευρά πει όχι, το υπόλοιπο της λίστας είναι ακαδημαϊκό, και γλιτώσατε μια αναθεώρηση σχεδίου.

Μην αντιμετωπίζετε δύο διεπαφές ως δρομολογητή

Δύο ενεργές διεπαφές δεν κάνουν αυτόματα τη συσκευή δρομολογητή ή γέφυρα Ethernet. Ελέγξτε τη υποστηριζόμενη διαμόρφωση προώθησης, γεφύρωσης, NAT και διαμεσολαβητή πριν περιγράψετε οτιδήποτε ως διαδρομή διέλευσης, και διατηρήστε τυχόν άσχετα εξουσιοδοτημένα καθήκοντα δρομολόγησης που έχει ήδη η συσκευή. Ένας φορητός υπολογιστής που τρέχει τοπικό δίκτυο κοντέινερ ή κεντρικό υπολογιστή virtualization δεν είναι ουδέτερος παρατηρητής εδώ.

Αν η απαίτηση είναι πραγματικά διέλευση από το A στο B, αυτό ανήκει σε δικτυακή συσκευή με ιδιοκτήτη, ελέγξιμο σύνολο κανόνων και διαδικασία αλλαγών. Το να γίνει κατά λάθος μέσω σταθμού εργασίας είναι το αποτέλεσμα που υπάρχει για να αποτρέψει αυτός ο έλεγχος.

Αντιμετωπίστε το τελικό σημείο και ως σημείο πρόσβασης

Η συσκευή δεν είναι μόνο πελάτης και των δύο δικτύων, είναι κεντρικός υπολογιστής που προσφέρει υπηρεσίες. Μια επιτρεπόμενη υπηρεσία σε αυτό το μηχάνημα μπορεί να είναι προσβάσιμη από ομότιμο VPN σύμφωνα με το τείχος προστασίας του κεντρικού υπολογιστή και την πολιτική του πελάτη, οπότε μια εκτεθειμένη θύρα διαχείρισης στον φορητό υπολογιστή είναι τώρα μέρος της επιφάνειας επίθεσης του απομακρυσμένου δικτύου. Απαριθμήστε τι ακούει πριν συζητήσετε για διαδρομές, γιατί μία δεσμευμένη θύρα αποσφαλμάτωσης υπερτερεί οποιασδήποτε πολιτικής σήραγγας. Κρατήστε τις υπηρεσίες του κεντρικού υπολογιστή στα προβλεπόμενα αίτια και σκοπούς τους.

Αντιμετωπίστε κάθε απομακρυσμένο δίκτυο ως τομέα πόρων με ρητές άδειες αντί να δίνετε ευρεία εμπιστοσύνη επειδή η κίνηση έφτασε κρυπτογραφημένη. Η αρχιτεκτονική μηδενικής εμπιστοσύνης του NIST διαχωρίζει την εξουσιοδότηση πόρων από την υπονοούμενη εμπιστοσύνη στη θέση δικτύου, και αυτή είναι ακριβώς η διάκριση που θολώνει ένας φορητός υπολογιστής με δύο σήραγγες.

Κάντε άλλη μία ερώτηση όσο είστε εδώ: αν παραβιαστεί μια τοπική υπηρεσία ή μια εξουσιοδοτημένη εφαρμογή, ποιοι πόροι και ποια διαπιστευτήρια θα γίνονταν προσβάσιμα από αυτό το προγεφύρωμα; Γράψτε την απάντηση, γιατί είναι η πραγματική δήλωση κινδύνου για όλο το σχέδιο.

Διαλέξτε το όριο εργασίας που ταιριάζει στο μοντέλο απειλών

Η δρομολόγηση ανά εφαρμογή μπορεί να αναθέτει προγράμματα στις προβλεπόμενες σήραγγες, και χωριστά προφίλ εργασίας, χρήστες ή υποστηριζόμενοι εικονικοί χώροι εργασίας μπορούν να προσθέσουν όρια ταυτότητας και δεδομένων ανάλογα με την πλατφόρμα. Ταιριάξτε το όριο με το μοντέλο απειλών και όχι με την επίδειξη: ένας διαχωρισμός δρομολόγησης χωρίς διαχωρισμό ταυτότητας αφήνει ακόμη ένα προφίλ περιηγητή να κρατά και τις δύο συνεδρίες.

Ένας χώρος ονομάτων δικτύου απομονώνει τη δρομολόγηση και την κατάσταση δικτύου· δεν απομονώνει κάθε διαδρομή συστήματος αρχείων, το πρόχειρο ή τον πράκτορα διαπιστευτηρίων. Μια εικονική μηχανή ή ένα διαχειριζόμενο προφίλ χρειάζεται επίσης σκόπιμη πολιτική διαμοιρασμού και διαχείρισης κεντρικού υπολογιστή. Καταγράψτε ποιοι φάκελοι, βοηθοί ελέγχου ταυτότητας και διαδρομές αντιγραφής και επικόλλησης παραμένουν διαθέσιμοι, γιατί αυτά είναι τα κανάλια που πραγματικά μεταφέρουν δεδομένα ανάμεσα στους δύο τομείς.

Για διαδοχική εργασία, μια σκόπιμη εναλλαγή είναι συνήθως απλούστερη από τη διατήρηση ταυτόχρονης πρόσβασης. Ολοκληρώστε τη εξαρτημένη λειτουργία και μετά επαληθεύστε την ταυτότητα και τη διαδρομή του επόμενου χώρου εργασίας αντί να αφήνετε εργαλεία υποβάθρου συνδεδεμένα σε ασαφές περιβάλλον.

Γράψτε την έγκριση ως εργασία, όχι ως σύνθημα

Ένα αρχείο έγκρισης πρέπει να διαβάζεται ως εργασία: ο χώρος εργασίας υποστήριξης μπορεί να φτάνει στην κονσόλα υπηρεσιών του Δικτύου A και στην πύλη δελτίων του Δικτύου B, χωρίς εξουσιοδοτημένη προώθηση από το A στο B, χωρίς κοινό πράκτορα διαπιστευτηρίων και χωρίς αυτόματο συγχρονισμό αρχείων. Κάθε ρήτρα σε αυτή την πρόταση αντιστοιχεί σε κάτι που μπορείτε να ρυθμίσετε και να δοκιμάσετε.

Έπειτα επαληθεύστε τις αρνητικές περιπτώσεις, όχι μόνο τις θετικές. Δοκιμάστε να φτάσετε σε πόρο που πρέπει να είναι έξω από το όριο, επιβεβαιώστε ότι η υπηρεσία του κεντρικού υπολογιστή δεν απαντά από την άλλη πλευρά, και ελέγξτε ότι ο βοηθός διαπιστευτηρίων δεν εξυπηρετεί σιωπηλά και τους δύο τομείς.

Κρατήστε το αρχείο με τη συσκευή, όχι μόνο στο δελτίο, ώστε το επόμενο άτομο που θα κληρονομήσει τη ρύθμιση να ξέρει ποιο όριο ήταν σκόπιμο. Ένας φορητός υπολογιστής με δύο σήραγγες και χωρίς γραπτό όριο δεν ξεχωρίζει από λάθος διαμόρφωση.