Metu la VPN-enirejon apud Windows XP, ne en ĝin

Ie en la konstruaĵo staras maŝino, kiu rulas aplikaĵon, kiun neniu povas anstataŭigi, sur operaciumo, kiun oni ne devus konekti al io ajn. Iri eksteren de la retadaptilo de tiu gastiganto estas la plej rapida maniero vidi, kie la tunelo apartenas. En la plej multaj dezajnoj ĝi tute ne apartenas al la gastiganto. Movu ĝin unu paŝon for al prizorgata enirejo, kaj la malnova problemo malgrandiĝos reen al la aplikaĵo, per kiu ĝi komenciĝis.

Komencu ĉe la gastiganta adaptilo, ne ĉe VPN-kliento

Malfermu la adaptilajn propraĵojn kaj donu al la gastiganto fiksan adreson en malgranda dediĉita segmento, kun la enirejo kiel ĝia implicita itinero. La gastiganto tiam bezonas nek tunelan klienton, nek tunelajn akreditaĵojn, nek itinertabelajn enskribojn en la pli vastan korporacian reton. Se la aplikaĵo bezonas unu malproksiman subreton, aldonu ekzakte tiun unu itinero.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Tiu komando fiksas unu celon al la enirejo kaj lasas ĉion alian senitinere, kaj tio estas la formo, kiun vi volas. Konfirmu la rezulton per route print anstataŭ fidi la elirkodon. Poste kontrolu, ĉu la aplikaĵo ankoraŭ solvas sian servilan nomon, ĉar malnova gastiganto kun rompita solvilo aspektas ekzakte kiel reta fiasko, kaj ripari la solvilon estas kvimminuta laboro, dum rekonstrui aplikaĵon post erara reta ŝanĝo ne estas. Ĉiu celo, kiun la gastiganto ne povas atingi, estas unu afero malpli, kiun oni povas persvadi malnovan retan stakon ataki.

Metu la tunelon sur aparataron, kiun vi povas ĝisdatigi

La enirejo volas du interfacojn: unu fronte al la gastiganta segmento kaj unu fronte al la loko, kie loĝas la aplikaĵo, kun la tunelo finiĝanta sur la dua. Tiu aparato povas ricevi firmvarajn ĝisdatigojn, anstataŭigi sian kriptografian agordon kaj registri fluojn sen ke iu tuŝu la malnovan maŝinon. Ĝia vendanto ankaŭ liveras korektojn por la tunela efektivigo, kiujn la gastiganto neniam ricevos. Du maŝinoj kaj limdato ne estas kialo kopii recepton kun statika sekreto el forumafiŝo.

Donu al ĉiu enirejo sian propran samrangulan identecon anstataŭ kloni unu klientan agordon tra floto. Kiam unuo estas anstataŭigita, revoku la malnovan identecon sammomente, kiam vi enretigas la novan, alie vi restas kun du nekontrolitaj kopioj aŭtentikigantaj al la sama finpunkto. Konservu la ŝlosilojn tie, kie la administra ebeno de la enirejo atendas ilin, traktu agordan sekurkopion kiel sekreton kaj reviziu, kiu povas puŝi tiun agordon, ĉar ĝi nun decidas, kion la malnova gastiganto povas atingi.

Permesu servojn, ne retojn

Skribu la politikon laŭ protokolo, pordo kaj direkto inter la du alkroĉoj. Unu permesita pordo al unu aplikaĵa adreso estas la kutima respondo, kaj administra vojo tra saltgastiganto kovras la reston.

Fora administrado de la malnova gastiganto ne devus veturi laŭ la sama regulo kiel la aplikaĵo, kaj testi la rifuzon same gravas kiel skribi la regulon. Sendu unu peton de la gastiganto al celo, kiun vi atendas esti rifuzita, kaj konfirmu, ke la rifuzo venas de la politiko kaj ne de mankanta itinero. Registru la fluojn, kiujn vi permesas, dum la dezajno estas nova, por ke vi vidu, kion la aplikaĵo efektive uzas, ne kion asertas ĝia dokumentaro. Kunfandi du subretojn ĉar ponta lernilo aspektis pli mallonga estas la maniero, per kiu malnova segmento silente fariĝas saltotabulo.

Ne elmetu la malnovan aŭskultanton rekte al la interreto kiel mallongigon ĉirkaŭ la enirejo. Tenu la administran vojon aparte de la aplikaĵa vojo, por ke kompromiso de unu ne transdonu la alian. Regulo, kiu neniam estas ekzercata, estas regulo, kiun neniu kontrolis, kaj tial la rifuzita celo apartenas al la akcepta kuro.

Restaŭrado devas funkcii sen la tunelo

Decidu, kiu ĝisdatigas kaj restaŭras la enirejon antaŭ la unua interrompo, kaj certigu, ke tiu persono povas atingi ĝin sen la tunelo, kiun ĝi finigas. Konsola aliro, loka administra pordo aŭ eksterbanda vojo ĉiuj validas kiel respondoj. Enirejo, kiun oni povas agordi nur per la tunelo, kiun ĝi provizas, estas kaptilo, kiu pacience atendas malbonan firmvaran puŝon.

Skribu la rullibron por la fiasko, kiun vi efektive renkontos: tunelo malsupre, enirejo morta, gastiganta disko malaperinta. Tenu la restaŭran bildon de la gastiganto sub kiu ajn subtena aranĝo ankoraŭ ekzistas, kaj memoru, ke restaŭro ankaŭ restaŭras la softvaran staton kaj la akreditaĵojn ene de tiu bildo. Restaŭru unue al la izolita segmento, konfirmu, ke la aplikaĵo startas, kaj nur poste rekonektu ion ajn; kiam la enirejo ŝanĝiĝas, ĝisdatigu la rullibron kaj la inventaron en la sama kunsido.

Atestiloj, horloĝoj kaj subskribaj avertoj

La atestila eksvalidiĝo de instalilo mem ne antaŭdiras, kion subskriba kontrolo diros hodiaŭ. La gvidado de Microsoft pri Authenticode-tempomarkoj klarigas, ke tempomarko povas teni subskribon kontrolan post kiam la subskriba atestilo eksvalidiĝas, kaj validigo ankoraŭ dependas de la subskribo, la fidoĉeno kaj la kontrolanto, kiu faras la laboron. Du maŝinoj kun malsamaj fidsistemoj povas do malakordi pri la sama dosiero. Eksvalidiĝinta subskribinto ne estas pruvo, ke duuma dosiero estas malica, kaj valida subskribo ne estas pruvo, ke la softvaro estas prizorgata.

Ne movu la sistemhorloĝon malantaŭen kaj ne malŝaltu subskribajn kontrolojn por igi malnovan instalilon funkcii. Akiru rajtigitan artefakton ĉe tiu, kiu ankoraŭ subtenas la aplikaĵon, kaj lasu ilin diri, kion la platformo akceptas. Traktu afiŝojn, kiuj asertas, ke certa konstruo estis la lasta por XP, kiel historion, ne kiel instalcelon, ĉar la reala postulo dependas de la aplikaĵo; se konserva laboro vere necesas, tenu ĝin sur izolita segmento for de produkcja aliro kaj dokumentu, kial ĝi ekzistas.