Paigutage VPN-lüüs Windows XP kõrvale, mitte selle sisse

Kusagil hoones seisab masin, mis käitab rakendust, mida keegi ei saa asendada, operatsioonisüsteemil, mida ei tohiks millelegi külge ühendada. Selle hosti võrguadapterist välja liikumine on kiireim viis näha, kuhu tunnel kuulub. Enamikus projektides ei kuulu see hostile üldse. Liigutage see üks samm eemale hooldatavasse lüüsi ja vana probleem kahaneb tagasi rakenduseks, millest see algas.

Alustage hosti adapterist, mitte VPN-kliendist

Avage adapteri atribuudid ja andke hostile väikeses sihtotstarbelises segmendis fikseeritud aadress, kusjuures lüüs on selle vaikimisi marsruut. Siis ei vaja host tunneliklienti, tunneli mandaate ega marsruutimistabeli kirjeid laiemasse ettevõttevõrku. Kui rakendus vajab üht kaugvõrku, lisage täpselt see üks marsruut.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

See käsk kinnitab ühe sihtkoha lüüsile ja jätab kõik muu marsruudita, mis on soovitud kuju. Kinnitage tulemus käsuga route print, selle asemel et väljumiskoodi usaldada. Seejärel kontrollige, kas rakendus ikka lahendab oma serveri nime, sest katkise lahendajaga vana host näeb täpselt välja nagu võrgu rike, ja lahendaja parandamine on viie minuti töö, samas kui rakenduse ümberehitamine pärast ekslikku võrgumuudatust seda pole. Iga sihtkoht, kuhu host ei pääse, on üks asi vähem, milleni saab vana võrgupinu rünnakule meelitada.

Pange tunnel riistvarale, mida saate uuendada

Lüüs tahab kahte liidest: üks hosti segmendi poole ja teine sinna, kus rakendus elab, kusjuures tunnel lõpeb teisel. See seade saab võtta vastu püsivara uuendusi, vahetada oma krüptograafilist konfiguratsiooni ja logida vooge, ilma et keegi vana masinat puudutaks. Selle tarnija tarnib ka tunneli teostuse parandusi, mida host kunagi ei saa. Kaks masinat ja tähtaeg ei ole põhjus kopeerida staatilise saladusega retsepti foorumipostitusest.

Andke igale lüüsile oma peer-identiteet, selle asemel et kloonida üks kliendikonfiguratsioon tervele parvele. Kui seade asendatakse, tühistage vana identiteet samal hetkel, kui uue veebi viite, muidu jääb kaks kontrollimatut koopiat, mis autentivad end samas lõpp-punktis. Hoidke võtmeid seal, kus lüüsi haldustasand neid ootab, käsitlege konfiguratsiooni varukoopiat saladusena ja vaadake üle, kes saab seda konfiguratsiooni saata, sest see otsustab nüüd, kuhu vana host pääseb.

Lubage teenuseid, mitte võrke

Kirjutage poliitika protokolli, pordi ja suuna kaudu kahe ühenduse vahel. Üks lubatud port ühele rakenduse aadressile on tavaline vastus ja hüpperakendaja kaudu kulgev haldustee katab ülejäänu.

Vana hosti kaugahaldus ei peaks liikuma sama reegliga nagu rakendus, ja keeldumise testimine on sama tähtis kui reegli kirjutamine. Saatke hostilt üks päring sihtkohta, mille kohta eeldate keeldumist, ja kinnitage, et keeldumine tuleb poliitikast, mitte puuduvast marsruudist. Logige lubatud vooge, kuni projekt on uus, et näha, mida rakendus tegelikult kasutab, mitte mida selle dokumentatsioon väidab. Kahe alavõrgu liitmine, sest sillatud õpetus tundus lühem, on viis, kuidas vana segment vaikselt hüppelauaks muutub.

Ärge paljastage vana kuulajat otse internetti lüüsist mööda minemise otseteena. Hoidke haldustee rakenduse teest eraldi, et ühe kompromiteerimine ei annaks üle teist. Reegel, mida kunagi ei harjutata, on reegel, mida keegi pole kontrollinud, ja seetõttu kuulub keelatud sihtkoht vastuvõtukäiku.

Taastamine peab toimima ilma tunnelita

Otsustage, kes lüüsi uuendab ja taastab, enne esimest katkestust, ja veenduge, et see inimene pääseb selle juurde ilma tunnelita, mille see lõpetab. Konsoolil juurdepääs, kohalik haldusport või ribaväline tee kõik loevad vastustena. Lüüs, mida saab konfigureerida ainult selle enda pakutava tunneli kaudu, on lõks, mis ootab kannatlikult halba püsivara tõuget.

Kirjutage tegevusjuhend rikke jaoks, millega tegelikult kokku puutute: tunnel maas, lüüs surnud, hosti ketas kadunud. Hoidke hosti taastekujutist selle jaoks veel kehtiva tugikorralduse all ja pidage meeles, et taastamine taastab ka tarkvara oleku ja mandaadid selles kujutises. Taastage esmalt isoleeritud segmenti, kinnitage, et rakendus käivitub, ja alles siis ühendage midagi uuesti; kui lüüs muutub, uuendage tegevusjuhendit ja inventari samal istungil.

Sertifikaadid, kellad ja allkirja hoiatused

Paigaldaja sertifikaadi aegumine ei ennusta iseenesest, mida allkirja kontroll täna ütleb. Microsofti Authenticode'i ajatemplite juhis selgitab, et ajatempel võib hoida allkirja kontrollitavana pärast allkirjastamise sertifikaadi aegumist, ja valideerimine sõltub endiselt allkirjast, usaldusahelast ja kontrollijast, kes töö teeb. Seetõttu võivad kaks erineva usaldussalvega masinat sama faili osas eriarvamusel olla. Aegunud allkirjastaja ei ole tõestus, et binaarfail on pahatahtlik, ja kehtiv allkiri ei ole tõestus, et tarkvara on hooldatud.

Ärge liigutage süsteemi kella tagasi ega lülitage allkirja kontrolle välja, et vana paigaldaja tööle hakkaks. Hankige volitatud artefakt sellelt, kes rakendust veel toetab, ja laske neil öelda, mida platvorm aktsepteerib. Käsitlege postitusi, mis väidavad, et teatud build oli XP jaoks viimane, ajaloona, mitte paigaldussihtkohana, sest tegelik nõue sõltub rakendusest; kui säilitustöö on tõesti vajalik, hoidke seda isoleeritud segmendis tootmiskeskkonna juurdepääsust eemal ja dokumenteerige, miks see olemas on.