Ponga la puerta de enlace VPN junto a Windows XP, no dentro

En algún lugar del edificio hay una máquina que ejecuta una aplicación que nadie puede sustituir, sobre un sistema operativo que no debería conectarse a nada. Salir del adaptador de red de ese host es la forma más rápida de ver dónde pertenece el túnel. En la mayoría de los diseños no pertenece al host en absoluto. Muévalo un salto hacia fuera, a una puerta de enlace mantenida, y el problema antiguo se reduce a la aplicación con la que empezó.

Empiece por el adaptador del host, no por un cliente VPN

Abra las propiedades del adaptador y dé al host una dirección fija en un segmento pequeño y dedicado, con la puerta de enlace como su ruta predeterminada. El host ya no necesita cliente de túnel, credenciales de túnel ni entradas de tabla de rutas hacia la red corporativa más amplia. Si la aplicación necesita una sola subred remota, añada exactamente esa única ruta.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ese comando fija un único destino a la puerta de enlace y deja todo lo demás sin ruta, que es la forma que se busca. Confirme el resultado con route print en lugar de confiar en el código de salida. Después compruebe que la aplicación sigue resolviendo el nombre de su servidor, porque un host antiguo con un resolutor roto parece exactamente un fallo de red, y arreglar el resolutor es un trabajo de cinco minutos mientras que reconstruir una aplicación tras un cambio de red equivocado no lo es. Cada destino al que el host no puede llegar es una cosa menos a la que se puede persuadir a una pila de red antigua de atacar.

Ponga el túnel en hardware que pueda actualizar

La puerta de enlace quiere dos interfaces: una frente al segmento del host y otra frente a donde vive la aplicación, con el túnel terminando en la segunda. Ese dispositivo puede recibir actualizaciones de firmware, sustituir su configuración criptográfica y registrar flujos sin que nadie toque la máquina antigua. Su proveedor también publica correcciones para la implementación del túnel, que el host nunca recibirá. Dos máquinas y una fecha límite no son razón para copiar una receta de secreto estático de una publicación de foro.

Dé a cada puerta de enlace su propia identidad de par en lugar de clonar una configuración de cliente por toda una flota. Cuando se sustituye una unidad, revoque la identidad antigua en el mismo momento en que pone la nueva en línea, o acabará con dos copias sin control que se autentican en el mismo extremo. Guarde las claves donde las espera el plano de gestión de la puerta de enlace, trate una copia de seguridad de la configuración como un secreto y revise quién puede enviar esa configuración, porque ahora decide a qué puede llegar el host antiguo.

Permita servicios, no redes

Escriba la política en términos de protocolo, puerto y dirección entre las dos conexiones. Un solo puerto permitido hacia una sola dirección de aplicación es la respuesta habitual, y una ruta administrativa a través de un host de salto cubre el resto.

La administración remota del host antiguo no debería ir por la misma regla que la aplicación, y probar el rechazo importa tanto como escribir la regla. Envíe una petición desde el host a un destino que espere que se rechace y confirme que el rechazo viene de la política y no de una ruta ausente. Registre los flujos que permite mientras el diseño es nuevo, para ver qué usa realmente la aplicación y no lo que afirma su documentación. Fusionar dos subredes porque un tutorial puenteado parecía más corto es cómo un segmento antiguo se convierte silenciosamente en un trampolín.

No exponga el receptor antiguo directamente a internet como atajo alrededor de la puerta de enlace. Mantenga la ruta administrativa separada de la ruta de la aplicación para que el compromiso de una no entregue la otra. Una regla que nunca se ejerce es una regla que nadie ha verificado, y por eso el destino denegado pertenece a la ejecución de aceptación.

La recuperación tiene que funcionar sin el túnel

Decida quién actualiza y recupera la puerta de enlace antes del primer corte y asegúrese de que esa persona pueda llegar a ella sin el túnel que termina. El acceso por consola, un puerto de gestión local o una ruta fuera de banda cuentan todos como respuestas. Una puerta de enlace que solo puede configurarse a través del túnel que proporciona es una trampa que espera pacientemente un mal envío de firmware.

Escriba el manual para el fallo que encontrará de verdad: túnel caído, puerta de enlace muerta, disco del host perdido. Mantenga la imagen de recuperación del host bajo el acuerdo de soporte que aún exista, y recuerde que una restauración también restaura el estado del software y las credenciales dentro de esa imagen. Restaure primero en el segmento aislado, confirme que la aplicación arranca y solo entonces vuelva a conectar algo; cuando cambie la puerta de enlace, actualice el manual y el inventario en la misma sesión.

Certificados, relojes y avisos de firma

La caducidad del certificado de un instalador no predice por sí sola lo que dirá hoy una comprobación de firma. La guía de Microsoft sobre sellos de tiempo de Authenticode explica que un sello de tiempo puede mantener verificable una firma después de que caduque el certificado de firma, y la validación sigue dependiendo de la firma, la cadena de confianza y el verificador que hace el trabajo. Dos máquinas con almacenes de confianza distintos pueden, por tanto, discrepar sobre el mismo archivo. Un firmante caducado no es prueba de que un binario sea malicioso, y una firma válida no es prueba de que el software esté mantenido.

No atrase el reloj del sistema ni desactive las comprobaciones de firma para que funcione un instalador antiguo. Obtenga un artefacto autorizado de quien todavía dé soporte a la aplicación y deje que digan qué acepta la plataforma. Trate las publicaciones que afirman que una compilación concreta fue la última para XP como historia, no como objetivo de instalación, porque el requisito real depende de la aplicación; si el trabajo de preservación es realmente necesario, manténgalo en un segmento aislado lejos del acceso de producción y documente por qué existe.