Τοποθετήστε την πύλη VPN δίπλα στα Windows XP, όχι μέσα τους

Κάπου στο κτίριο βρίσκεται ένα μηχάνημα που εκτελεί μια εφαρμογή που κανείς δεν μπορεί να αντικαταστήσει, σε ένα λειτουργικό σύστημα που δεν θα έπρεπε να συνδεθεί με τίποτα. Το περπάτημα προς τα έξω από τον προσαρμογέα δικτύου αυτού του κεντρικού υπολογιστή είναι ο ταχύτερος τρόπος να δεις πού ανήκει η σήραγγα. Στα περισσότερα σχέδια δεν ανήκει καθόλου στον κεντρικό υπολογιστή. Μετακινήστε την ένα βήμα πιο πέρα, σε μια συντηρούμενη πύλη, και το παλιό πρόβλημα συρρικνώνεται πίσω στην εφαρμογή με την οποία ξεκίνησε.

Ξεκινήστε από τον προσαρμογέα του κεντρικού υπολογιστή, όχι από έναν πελάτη VPN

Ανοίξτε τις ιδιότητες του προσαρμογέα και δώστε στον κεντρικό υπολογιστή μια σταθερή διεύθυνση σε ένα μικρό αποκλειστικό τμήμα, με την πύλη ως προεπιλεγμένη διαδρομή του. Τότε ο κεντρικός υπολογιστής δεν χρειάζεται πελάτη σήραγγας, διαπιστευτήρια σήραγγας ούτε καταχωρήσεις πίνακα δρομολόγησης προς το ευρύτερο εταιρικό δίκτυο. Αν η εφαρμογή χρειάζεται ένα απομακρυσμένο υποδίκτυο, προσθέστε ακριβώς αυτή τη μία διαδρομή.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Αυτή η εντολή καρφιτσώνει έναν μόνο προορισμό στην πύλη και αφήνει όλα τα άλλα χωρίς διαδρομή, και αυτό είναι το σχήμα που θέλετε. Επιβεβαιώστε το αποτέλεσμα με route print αντί να εμπιστεύεστε τον κωδικό εξόδου. Στη συνέχεια ελέγξτε ότι η εφαρμογή εξακολουθεί να επιλύει το όνομα του διακομιστή της, γιατί ένας παλιός κεντρικός υπολογιστής με χαλασμένο resolver μοιάζει ακριβώς με αποτυχία δικτύου, και η επιδιόρθωση του resolver είναι δουλειά πέντε λεπτών, ενώ η ανακατασκευή μιας εφαρμογής μετά από λανθασμένη αλλαγή δικτύου δεν είναι. Κάθε προορισμός που ο κεντρικός υπολογιστής δεν μπορεί να φτάσει είναι ένα πράγμα λιγότερο στο οποίο μπορεί να πειστεί μια παλιά στοίβα δικτύου να επιτεθεί.

Βάλτε τη σήραγγα σε υλικό που μπορείτε να ενημερώσετε

Η πύλη θέλει δύο διεπαφές: μία προς το τμήμα του κεντρικού υπολογιστή και μία προς το μέρος όπου ζει η εφαρμογή, με τη σήραγγα να τερματίζει στη δεύτερη. Αυτή η συσκευή μπορεί να λαμβάνει ενημερώσεις υλικολογισμικού, να αντικαθιστά την κρυπτογραφική της διαμόρφωση και να καταγράφει ροές χωρίς να αγγίζει κανείς το παλιό μηχάνημα. Ο προμηθευτής της παρέχει επίσης διορθώσεις για την υλοποίηση της σήραγγας, τις οποίες ο κεντρικός υπολογιστής δεν θα λάβει ποτέ. Δύο μηχανήματα και μια προθεσμία δεν είναι λόγος να αντιγράψετε μια συνταγή με στατικό μυστικό από μια ανάρτηση φόρουμ.

Δώστε σε κάθε πύλη τη δική της ταυτότητα ομοτίμου αντί να κλωνοποιείτε μία διαμόρφωση πελάτη σε ένα στόλο. Όταν αντικαθίσταται μια μονάδα, ανακαλέστε την παλιά ταυτότητα την ίδια στιγμή που φέρνετε τη νέα σε λειτουργία, αλλιώς καταλήγετε με δύο ανεξέλεγκτα αντίγραφα που πιστοποιούνται στο ίδιο τελικό σημείο. Αποθηκεύστε τα κλειδιά εκεί όπου τα περιμένει το επίπεδο διαχείρισης της πύλης, αντιμετωπίστε ένα αντίγραφο ασφαλείας της διαμόρφωσης ως μυστικό και ελέγξτε ποιος μπορεί να προωθήσει αυτή τη διαμόρφωση, γιατί τώρα αποφασίζει τι μπορεί να φτάσει ο παλιός κεντρικός υπολογιστής.

Επιτρέψτε υπηρεσίες, όχι δίκτυα

Γράψτε την πολιτική με όρους πρωτοκόλλου, θύρας και κατεύθυνσης μεταξύ των δύο συνδέσεων. Μία επιτρεπόμενη θύρα προς μία διεύθυνση εφαρμογής είναι η συνήθης απάντηση, και μια διαχειριστική διαδρομή μέσω κεντρικού υπολογιστή άλματος καλύπτει τα υπόλοιπα.

Η απομακρυσμένη διαχείριση του παλιού κεντρικού υπολογιστή δεν πρέπει να κινείται με τον ίδιο κανόνα όπως η εφαρμογή, και η δοκιμή της άρνησης έχει την ίδια σημασία με τη σύνταξη του κανόνα. Στείλτε ένα αίτημα από τον κεντρικό υπολογιστή προς έναν προορισμό που περιμένετε να απορριφθεί και επιβεβαιώστε ότι η άρνηση προέρχεται από την πολιτική και όχι από μια διαδρομή που λείπει. Καταγράψτε τις ροές που επιτρέπετε όσο το σχέδιο είναι νέο, ώστε να βλέπετε τι χρησιμοποιεί πραγματικά η εφαρμογή και όχι τι ισχυρίζεται η τεκμηρίωσή της. Η συγχώνευση δύο υποδικτύων επειδή ένα φροντιστήριο με γέφυρα φαινόταν συντομότερο είναι ο τρόπος με τον οποίο ένα παλιό τμήμα γίνεται ήσυχα εφαλτήριο.

Μην εκθέτετε τον παλιό ακροατή απευθείας στο διαδίκτυο ως συντομότερο δρόμο γύρω από την πύλη. Κρατήστε τη διαχειριστική διαδρομή χωριστά από τη διαδρομή της εφαρμογής, ώστε η παραβίαση της μίας να μην παραδίδει την άλλη. Ένας κανόνας που δεν ασκείται ποτέ είναι ένας κανόνας που κανείς δεν επαλήθευσε, γι' αυτό ο απορριπτόμενος προορισμός ανήκει στη δοκιμή αποδοχής.

Η αποκατάσταση πρέπει να λειτουργεί χωρίς τη σήραγγα

Αποφασίστε ποιος ενημερώνει και αποκαθιστά την πύλη πριν από την πρώτη διακοπή και βεβαιωθείτε ότι αυτό το άτομο μπορεί να τη φτάσει χωρίς τη σήραγγα που τερματίζει. Η πρόσβαση κονσόλας, μια τοπική θύρα διαχείρισης ή μια διαδρομή εκτός ζώνης μετράνε όλες ως απαντήσεις. Μια πύλη που μπορεί να ρυθμιστεί μόνο μέσω της σήραγγας που παρέχει είναι μια παγίδα που περιμένει υπομονετικά μια κακή ώθηση υλικολογισμικού.

Γράψτε το εγχειρίδιο για την αποτυχία που θα συναντήσετε πραγματικά: σήραγγα κάτω, πύλη νεκρή, δίσκος κεντρικού υπολογιστή χαμένος. Κρατήστε την εικόνα αποκατάστασης του κεντρικού υπολογιστή στο πλαίσιο οποιασδήποτε συμφωνίας υποστήριξης εξακολουθεί να υπάρχει και θυμηθείτε ότι μια επαναφορά επαναφέρει επίσης την κατάσταση λογισμικού και τα διαπιστευτήρια μέσα σε αυτή την εικόνα. Επαναφέρετε πρώτα στο απομονωμένο τμήμα, επιβεβαιώστε ότι η εφαρμογή ξεκινά και μόνο τότε επανασυνδέστε οτιδήποτε· όταν αλλάξει η πύλη, ενημερώστε το εγχειρίδιο και το απόθεμα στην ίδια συνεδρία.

Πιστοποιητικά, ρολόγια και προειδοποιήσεις υπογραφής

Η λήξη του πιστοποιητικού ενός προγράμματος εγκατάστασης δεν προβλέπει από μόνη της τι θα πει σήμερα ένας έλεγχος υπογραφής. Η καθοδήγηση της Microsoft για χρονικές σφραγίδες Authenticode εξηγεί ότι μια χρονική σφραγίδα μπορεί να κρατήσει μια υπογραφή επαληθεύσιμη αφού λήξει το πιστοποιητικό υπογραφής, και η επικύρωση εξακολουθεί να εξαρτάται από την υπογραφή, την αλυσίδα εμπιστοσύνης και τον επαληθευτή που κάνει τη δουλειά. Δύο μηχανήματα με διαφορετικά καταστήματα εμπιστοσύνης μπορούν επομένως να διαφωνήσουν για το ίδιο αρχείο. Ένας ληγμένος υπογράφων δεν είναι απόδειξη ότι ένα δυαδικό αρχείο είναι κακόβουλο, και μια έγκυρη υπογραφή δεν είναι απόδειξη ότι το λογισμικό συντηρείται.

Μην πάτε το ρολόι του συστήματος πίσω και μην απενεργοποιήσετε τους ελέγχους υπογραφής για να τρέξει ένα παλιό πρόγραμμα εγκατάστασης. Αποκτήστε ένα εξουσιοδοτημένο τεχνούργημα από όποιον εξακολουθεί να υποστηρίζει την εφαρμογή και αφήστε τους να πουν τι δέχεται η πλατφόρμα. Αντιμετωπίστε τις αναρτήσεις που ισχυρίζονται ότι μια συγκεκριμένη έκδοση ήταν η τελευταία για XP ως ιστορία και όχι ως στόχο εγκατάστασης, γιατί η πραγματική απαίτηση εξαρτάται από την εφαρμογή· αν η εργασία διατήρησης είναι πραγματικά απαραίτητη, κρατήστε την σε απομονωμένο τμήμα μακριά από πρόσβαση παραγωγής και τεκμηριώστε γιατί υπάρχει.