Bi VPN aldi berean? Zehaztu lehenengo muturreko muga

Aldi berean konektatutako bi VPN bezeroek mutur bat bi baliabide-domeinuetan jartzen dute, eta hori baimen-kontua da bideratze-kontua baino lehen. Tunelak zifratuta egoteak ez du ezer esaten ordenagailu horretako aplikazioek bi sareetara iritsi behar duten ala ez, ezta sare bateko pare batek bestearenera harekin iritsi behar duen ere. Igo beheko egiaztapenak ordenan eta gelditu inork erantzun ezin duen lehenengoan. Erantzun horiek gabe gainjartzea onartzea da konponbide erosoa isil-isilik zubi bihurtzen den modua.

Hasi benetako lanetik: nolako baliabideak behar ditu pertsonak sare bakoitzean, eta bi sareen jabeek uzten dute gailu batetik aldi bereko sarbidea?

Egiaztatu nork uzten duen gainjartzea

Erabiltzaile bera autentifikatzen duten bi sareek jabe desberdinak dituzte oraindik, eta jabe horiek bateraezinak diren suposizioak izan ditzakete beste nonbait ere konektatuta dauden gailuei buruz. Galdetu biei ezer diseinatu aurretik. Gailu isolatuetarako idatzitako urruneko sarbide-politika batek sarritan ez du erantzunik bazkide-sare baten barruan aldi berean dagoen makina batentzat.

Lortu erantzuna idatziz eta gorde aldaketa-erregistroarekin batera. Alde batek ezetz esaten badu, zerrenda honen gainerakoa akademikoa da, eta diseinu-berrikuspen bat aurreztu diozu zeure buruari.

Ez hartu bi interfaze bideratzaile gisa

Bi interfaze aktibok ez dute gailua automatikoki bideratzaile edo Ethernet zubi bihurtzen. Egiaztatu onartutako birbidaltze, zubigintza, NAT eta proxy konfigurazioa edozer transit-bide gisa deskribatu aurretik, eta gorde gailuak lehendik dituen erlazionatuta ez dauden bideratze-betebehar baimenduak. Edukiontzi-sare lokal bat edo birtualizazio-ostalari bat exekutatzen duen ordenagailua ez da hemen behalari neutroa.

Betekizuna benetan A-tik B-rako transita bada, hori jabea, audita daitekeen arau-multzoa eta aldaketa-prozesua dituen sare-gailu batean dagokio. Lan-estazio baten bidez ustekabean egitea da egiaztapen hau saihesteko dagoen emaitza.

Hartu muturra sarbide-puntu ere

Gailua ez da bi sareen bezero soila; zerbitzuak eskaintzen dituen ostalaria da. Makina horretan baimendutako zerbitzu bat VPN pare batetik irisgarria izan daiteke ostalariaren suebakiaren eta bezeroaren politikaren arabera, beraz ordenagailuko kudeaketa-portu ireki bat urruneko sarearen eraso-azaleraren parte da orain. Zer ari den entzuten zerrendatu bideak eztabaidatu aurretik, zeren atakatutako arazketa-portu batek edozein tunel-politikak baino gehiago pisatzen baitu. Eutsi ostalariaren zerbitzuei beren iturri eta helburu jakinetan.

Hartu urruneko sare bakoitza baimen esplizituak dituen baliabide-domeinu gisa, trafikoa zifratuta iritsi delako konfiantza zabala eman beharrean. NIST-en zero-konfiantzako arkitekturak baliabideen baimena sare-kokapenarekiko inplizitutako konfiantzatik bereizten du, eta hori da bi tunel dituen ordenagailu batek lausotzen duen bereizketa.

Egin beste galdera bat hemendik zabiltzala: tokiko zerbitzu bat edo baimendutako aplikazio bat konprometituko balitz, zer baliabide eta kredentzial bihurtuko lirateke irisgarri oinarri horretatik? Idatzi erantzuna, diseinu osoaren benetako arrisku-adierazpena delako.

Aukeratu mehatxu-ereduari dagokion lan-muga

Aplikazioko bideratzeak programak aurreikusitako tuneletara eslei ditzake, eta lan-profil, erabiltzaile edo onartutako lan-espazio birtual bereiziek identitate- eta datu-mugak gehi ditzakete plataformaren arabera. Egokitu muga mehatxu-eredura, ez demostraziora: identitate-banaketarik gabeko bideratze-banaketak nabigatzaile-profil bakar batek bi saioak edukitzea uzten du oraindik.

Sare-namespace batek bideratzea eta sare-egoera isolatzen ditu; ez du fitxategi-sistemaren bide guztiak, arbeleko edukia ez eta kredentzial-agentea isolatzen. Makina birtual batek edo kudeatutako profil batek ere partekatze- eta ostalari-administrazio-politika deliberatua behar dute. Erregistratu zein karpeta, autentifikazio-laguntzaile eta kopiatu-itsatsi bide geratzen diren eskuragarri, horiek direlako bi domeinuen artean datuak benetan garraiatzen dituzten kanalak.

Lan sekuentzialerako, aldaketa deliberatua normalean errazagoa da aldi bereko sarbidea mantentzea baino. Amaitu mendeko eragiketa eta, ondoren, egiaztatu hurrengo lan-espazioaren identitatea eta bidea, atzeko planoko tresnak testuinguru anbiguo bati lotuta utzi ordez.

Idatzi onespena zeregin gisa, ez lelo gisa

Onespen-erregistro batek zeregin baten moduan irakurri behar luke: laguntza-lan-espazioak A Sarearen zerbitzu-kontsolera eta B Sarearen txartel-atarira irits daiteke, A-tik B-rako birbidaltze baimendurik gabe, kredentzial-agente partekaturik gabe eta fitxategi-sinkronizazio automatikorik gabe. Esaldi horretako zati bakoitzak konfiguratu eta probatu dezakezun zerbaiti egiten dio erreferentzia.

Ondoren egiaztatu kasu negatiboak, ez bakarrik positiboak. Saiatu mugatik kanpo egon beharko lukeen baliabide batera iristen, egiaztatu ostalariaren zerbitzuak ez duela beste aldetik erantzuten, eta egiaztatu kredentzial-laguntzaileak ez dituela bi domeinuak isilik zerbitzatzen.

Gorde erregistroa gailuarekin, ez txartelean soilik, konponbidea oinordetzan hartzen duen hurrengo pertsonak jakin dezan zein muga zen deliberatua. Bi tunel eta idatzitako mugarik ez dituen ordenagailua ezin da konfigurazio oker batetik bereizi.