Du VPN samtempe? Unue difinu la limon de la finpunkto

Du samtempe konektitaj VPN-klientoj metas unu finpunkton en du rimedajn domajnojn, kaj tio estas aŭtoriga demando antaŭ ol ĝi estas enkursiga demando. Tio, ke la tuneloj estas ĉifritaj, diras nenion pri tio, ĉu la programoj sur tiu tekkomputilo devus povi atingi ambaŭ retojn, aŭ ĉu samtavolano de unu reto devus povi atingi la alian tra ĝi. Trapasu la subajn kontrolojn laŭ ordo kaj haltu ĉe la unua, kiun neniu povas respondi. Aprobi la supermeton sen tiuj respondoj estas la maniero, kiel oportuna aranĝo silente fariĝas ponto.

Komencu de la efektiva laboro: kiujn rimedojn en ĉiu reto la persono bezonas, kaj ĉu ambaŭ retposedantoj permesas samtempan aliron de unu aparato?

Kontrolu, kiu permesas la supermeton

Du retoj, kiuj ĉiu aŭtentigas la saman uzanton, tamen havas apartajn posedantojn, kaj tiuj posedantoj povas havi nekongruajn supozojn pri aparatoj, kiuj ankaŭ estas konektitaj aliloke. Demandu ambaŭ antaŭ ol dezajni ion ajn. Foralira politiko verkita por izolitaj tekkomputiloj ofte tute ne havas respondon por maŝino, kiu samtempe estas ene de partnera reto.

Akiru la respondon skribe kaj konservu ĝin kun la ŝanĝa registro. Se unu flanko diras ne, la resto de tiu listo estas akademia, kaj vi ŝparis al vi dezajnan revizion.

Ne traktu du interfacojn kiel enkursigilon

Du aktivaj interfacoj ne aŭtomate faras la aparaton enkursigilo aŭ Ethernet-ponto. Kontrolu la subtenatan agordon de plusendo, pontado, NAT kaj prokuro antaŭ ol priskribi ion kiel trairan vojon, kaj konservu iujn ajn malrilatajn rajtigitajn enkursigajn devojn, kiujn la aparato jam havas. Tekkomputilo, kiu rulas lokan ujaran reton aŭ virtualigan gastiganton, ne estas neŭtrala observanto ĉi tie.

Se la postulo vere estas trairo de A al B, tio apartenas al reta aparato kun posedanto, revidebla regularto kaj ŝanĝa procezo. Fari ĝin akcidente per laboretacio estas la rezulto, kiun tiu ĉi kontrolo ekzistas por malhelpi.

Traktu la finpunkton ankaŭ kiel alirpunkton

La aparato ne estas nur kliento de ambaŭ retoj; ĝi estas gastiganto, kiu ofertas servojn. Permesita servo sur tiu maŝino povas esti atingebla de VPN-samtavolano laŭ la fajroŝirmilo de la gastiganto kaj la klienta politiko, do elmetita administra pordo sur la tekkomputilo nun estas parto de la ataksurfaco de la fora reto. Listigu, kio aŭskultas, antaŭ ol disputi pri vojoj, ĉar unu ligita sencimiga pordo superas iun ajn tunelan politikon. Tenu gastigajn servojn limigitaj al iliaj celitaj fontoj kaj celoj.

Traktu ĉiun foran reton kiel rimedan domajnon kun eksplicitaj permesoj anstataŭ doni vastan fidon ĉar la trafiko alvenis ĉifrita. La nula-fida arkitekturo de NIST apartigas rimedan rajtigon de implica fido al reta loko, kaj ĝuste tiun distingon malklarigas tekkomputilo kun du tuneloj.

Demandu ankoraŭ unu demandon dum vi estas ĉi tie: se loka servo aŭ rajtigita aplikaĵo estus kompromitita, kiuj rimedoj kaj legitimiloj fariĝus atingeblaj el tiu piedtenejo? Skribu la respondon, ĉar ĝi estas la vera riskodeklaro por la tuta dezajno.

Elektu la laborlimon, kiu konvenas al la minacmodelo

Laŭ-aplika enkursigado povas atribui programojn al celitaj tuneloj, kaj apartaj laborprofiloj, uzantoj aŭ subtenataj virtualaj laborspacoj povas aldoni identecajn kaj datumajn limojn laŭ la platformo. Kongruigu la limon al la minacmodelo, ne al la demonstro: enkursiga disigo sen identeca disigo ankoraŭ lasas unu retumilan profilon teni ambaŭ sesiojn.

Reta nomspaco izolas enkursigadon kaj retan staton; ĝi ne izolas ĉiun dosiersisteman vojon, tondujon aŭ legitimilan agenton. Virtuala maŝino aŭ administrata profilo same bezonas intencan kunhavigan kaj gastigadan administran politikon. Registru, kiuj dosierujoj, aŭtentigaj helpiloj kaj kopi-algluaj vojoj restas disponeblaj, ĉar tiuj estas la kanaloj, kiuj efektive portas datumojn inter la du domajnoj.

Por sinsekva laboro, intenca ŝanĝo kutime estas pli simpla ol konservi samtempan aliron. Finu la dependan operacion, poste kontrolu la identecon kaj vojon de la sekva laborspaco anstataŭ lasi fonsilojn ligitaj al ambigua kunteksto.

Skribu la aprobon kiel taskon, ne kiel sloganon

Aproba registro devus legiĝi kiel tasko: la subtena laborspaco povas atingi la servokonsolon de Reto A kaj la biletan portalon de Reto B, sen rajtigita plusendo de A al B, sen komuna legitimila agento kaj sen aŭtomata dosiera sinkronigo. Ĉiu frazparto de tiu frazo respondas al io, kion vi povas agordi kaj testi.

Poste kontrolu la negativajn kazojn, ne nur la pozitivajn. Provu atingi rimedon, kiu devus esti ekster la limo, konfirmu, ke la gastiga servo ne respondas de la alia flanko, kaj kontrolu, ke la legitimila helpilo ne silente servas ambaŭ domajnojn.

Konservu la registron kun la aparato, ne nur en la bileto, por ke la sekva persono, kiu heredos la aranĝon, sciu, kiu limo estis intenca. Tekkomputilo kun du tuneloj kaj sen skribita limo ne estas distingebla de misagordo.