Kaks VPN-i korraga? Kõigepealt määrake lõpp-punkti piir

Kaks korraga ühendatud VPN-kliendid panevad ühe lõpp-punkti kahte ressursidomeeni, ja see on volitamise küsimus enne, kui see on marsruutimise küsimus. See, et tunnelid on krüpteeritud, ei ütle midagi selle kohta, kas selle sülearvuti rakendused peaksid mõlemasse võrku pääsema, ega selle kohta, kas ühe võrgu partner peaks selle kaudu teise pääsema. Käige allolevad kontrollid järjekorras läbi ja peatuge esimesel, millele keegi vastata ei oska. Kattuvuse heakskiitmine ilma nende vastusteta on viis, kuidas mugav korraldus muutub vaikselt sillaks.

Alustage tegelikust tööst: milliseid ressursse igas võrgus inimene vajab, ja kas mõlemad võrguomanikud lubavad ühest seadmest samaaegset juurdepääsu?

Kontrollige, kes kattuvust lubab

Kahel võrgul, mis mõlemad autendivad sama kasutajat, on endiselt eraldi omanikud, ja neil omanikel võivad olla ühildumatud eeldused seadmete kohta, mis on ühendatud ka mujal. Küsige mõlemalt enne, kui midagi kavandate. Isoleeritud sülearvutite jaoks kirjutatud kaugjuurdepääsupoliitikal ei ole sageli masina jaoks üldse vastust, mis on samal ajal partneri võrgu sees.

Hankige vastus kirjalikult ja hoidke seda muudatuse kirjega koos. Kui üks pool ütleb ei, on ülejäänud loend akadeemiline ja olete säästnud end disainiülevaatuselt.

Ärge käsitlege kahte liidest ruuterina

Kaks aktiivset liidest ei tee seadmest automaatselt ruuterit ega Etherneti silda. Kontrollige toetatud edastamise, silla, NAT-i ja puhverserveri seadistust enne, kui nimetate midagi läbipääsuteeks, ja säilitage kõik seadmega juba seotud sõltumatud volitatud marsruutimiskohustused. Sülearvuti, mis käitab kohalikku konteinerivõrku või virtualiseerimishosti, ei ole siin erapooletu vaatleja.

Kui nõue on tõesti läbipääs punktist A punkti B, kuulub see võrguseadmele, millel on omanik, auditeeritav reeglistik ja muudatusprotsess. Selle juhuslik tegemine tööjaama kaudu on tulemus, mille vältimiseks see kontroll olemas on.

Käsitlege lõpp-punkti ka juurdepääsupunktina

Seade ei ole ainult mõlema võrgu klient, vaid host, mis pakub teenuseid. Sellel masinal lubatud teenus võib olla VPN-partnerile kättesaadav vastavalt hosti tulemüürile ja kliendi poliitikale, seega on sülearvuti avatud haldusport nüüd osa kaugvõrgu ründepinnast. Loetlege, mis kuulab, enne kui väidlete marsruutide üle, sest üks seotud silumisport kaalub üles iga tunnelipoliitika. Hoidke hosti teenused nende kavandatud allikate ja eesmärkide piires.

Käsitlege iga kaugvõrku ressursidomeenina, millel on selgesõnalised load, selle asemel et anda laia usaldust, kuna liiklus saabus krüpteeritult. NIST-i nullusalduse arhitektuur eraldab ressursside volitamise võrguasukoha kaudsest usaldusest, ja täpselt seda erinevust kahe tunneliga sülearvuti hägustab.

Küsige veel üks küsimus, kuni olete siin: kui kohalik teenus või volitatud rakendus oleks kompromiteeritud, millised ressursid ja volitused muutuksid sellest tugipunktist kättesaadavaks? Kirjutage vastus üles, sest see on kogu disaini tegelik riskideklaratsioon.

Valige tööpiir, mis sobib ohumudeliga

Rakendusepõhine marsruutimine saab määrata programmid ettenähtud tunnelitesse, ja eraldi tööprofiilid, kasutajad või toetatud virtuaalsed tööruumid võivad platvormist sõltuvalt lisada identiteedi- ja andmepiire. Sobitage piir ohumudeliga, mitte demoga: marsruutimise eraldamine ilma identiteedi eraldamiseta jätab ikkagi ühe brauseriprofiili hoidma mõlemat sessiooni.

Võrgumimmeruum isoleerib marsruutimise ja võrgu oleku; see ei isoleeri iga failisüsteemi teed, lõikelauda ega volituste agenti. Virtuaalmasin või hallatav profiil vajab samuti teadlikku jagamis- ja hostihalduspoliitikat. Kirjutage üles, millised kaustad, autentimisabivahendid ja kopeeri-kleebi teed jäävad kättesaadavaks, sest just need kanalid kannavad andmeid kahe domeeni vahel.

Järjestikuse töö jaoks on teadlik ümberlülitamine tavaliselt lihtsam kui samaaegse juurdepääsu hoidmine. Lõpetage sõltuv toiming ja seejärel kontrollige järgmise tööruumi identiteeti ja marsruuti, selle asemel et jätta taustatööriistad seotuks mitmetähendusliku kontekstiga.

Kirjutage heakskiit ülesandena, mitte loosungina

Heakskiidu kirje peaks lugema nagu ülesanne: tugitööruum võib pääseda võrgu A teeninduskonsoolile ja võrgu B piletiportaalile, ilma volitatud edastamiseta punktist A punkti B, ilma jagatud volituste agendita ja ilma automaatse failisünkroonimiseta. Iga osa sellest lausest vastab millelegi, mida saate seadistada ja testida.

Seejärel kontrollige negatiivseid juhtumeid, mitte ainult positiivseid. Proovige pääseda ressursile, mis peaks jääma piirist välja, kinnitage, et hosti teenus ei vasta teiselt poolt, ja kontrollige, et volituste abivahend ei teeninda vaikselt mõlemat domeeni.

Hoidke kirje seadme juures, mitte ainult piletil, et järgmine inimene, kes korralduse pärib, teaks, milline piir oli teadlik. Kahe tunneliga ja kirjaliku piirita sülearvutit ei saa eristada valest seadistusest.