Jarri VPN atebidea Windows XPren ondoan, ez haren barruan

Eraikinen nonbait badago inork ordezkatu ezin duen aplikazio bat exekutatzen duen makina bat, ezeri konektatu behar ez zaion sistema eragile baten gainean. Ostalari horren sareko egokigailutik kanpora joatea da tunela non dagoen ikusteko modurik azkarrena. Diseinu gehienetan ez da ostalariarena batere. Eraman ezazu urrats bat kanpora, atebide mantendu batera, eta arazo zaharra hasi zen aplikaziora txikituko da.

Hasi ostalariaren egokigailutik, ez VPN bezerotik

Ireki egokigailuaren propietateak eta eman ostalariari helbide finko bat segmentu txiki dedikatu batean, atebidea haren bide lehenetsia izanik. Orduan ostalariak ez du tunel bezerorik, tunel kredentzialik ezta enpresa sare zabalagora doazen bide-taularen sarrerarik behar. Aplikazioak urruneko azpisare bakarra behar badu, gehitu bide hori bakarrik.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Komando horrek helmuga bakarra atebidera lotzen du eta gainerako guztia bideraezin uzten du, eta hori da nahi duzun forma. Egiaztatu emaitza route print erabiliz, irteera-kodean fidatu beharrean. Ondoren egiaztatu aplikazioak oraindik bere zerbitzariaren izena ebazten duela, izan ere, ebazle hautsia duen ostalari zahar batek sareko hutsegite baten itxura zehatza du, eta ebazlea konpontzea bost minutuko lana da, sare-aldaketa oker baten ondoren aplikazioa berreraikitzea ordea ez. Ostalariak iristen ez den helmuga bakoitza sare-pila zahar bat eraso zezan limurtu daitekeen gauza bat gutxiago da.

Jarri tunela egunera dezakezun hardwarean

Atebideak bi interfaze nahi ditu: bat ostalariaren segmentura begira eta beste bat aplikazioa bizi den tokira begira, tunela bigarrenean amaituta. Gailu horrek firmware eguneratzeak jaso ditzake, bere konfigurazio kriptografikoa ordezkatu eta fluxuak erregistratu, inork makina zaharra ukitu gabe. Haren hornitzaileak tunelaren inplementaziorako konponketak ere bidaltzen ditu, ostalariak inoiz jasoko ez dituenak. Bi makina eta epe bat ez dira foro-mezu batetik sekretu estatikoaren errezeta kopiatzeko arrazoia.

Eman atebide bakoitzari bere pare-identitatea, flota osoan bezero konfigurazio bakarra klonatu beharrean. Unitate bat ordezkatzen denean, ezeztatu identitate zaharra berria sarean jartzen duzun une berean, bestela amaiera-puntu berean autentifikatzen diren kontrolik gabeko bi kopia geratuko zaizkizu. Gorde giltzak atebidearen kudeaketa-planoak espero dituen lekuan, tratatu konfigurazioaren babeskopia sekretu gisa eta berrikusi nor den konfigurazio hori bidal dezakeena, orain hark erabakitzen baitu ostalari zaharrak zer har dezakeen.

Baimendu zerbitzuak, ez sareak

Idatzi politika bi konexioen arteko protokolo, portu eta norabidearen arabera. Aplikazio-helbide bakar baterako baimendutako portu bakarra da erantzun ohikoena, eta jauzi-ostalari baten bidezko administrazio-bideak gainerakoa estaltzen du.

Ostalari zahararen urruneko administrazioa ez litzateke aplikazioaren arau beretik joan behar, eta uko egitea probatzea araua idaztea bezain garrantzitsua da. Bidali eskaera bat ostalaritik ukatzea espero duzun helmuga batera eta egiaztatu ukoa politikatik datorrela, falta den bide batetik ez. Erregistratu baimendutako fluxuak diseinua berria den bitartean, aplikazioak benetan zer erabiltzen duen ikusteko, haren dokumentazioak dioena ez ezik. Bi azpisare batzea tutorial zubitua laburragoa zirudielako da segmentu zahar bat isilka abiapuntu bihurtzeko modua.

Ez jarri entzule zaharra zuzenean internetera, atebidearen inguruko lasterbide gisa. Mantendu administrazio-bidea aplikazioaren bidetik bereizita, baten konpromisoak bestea ez eman dezan. Inoiz praktikatzen ez den araua inork egiaztatu ez duen araua da, eta horregatik ukatuako helmuga onarpen-proban sartzen da.

Berreskuratzeak tunelik gabe funtzionatu behar du

Erabaki nor arduratuko den atebidea eguneratzeaz eta berreskuratzeaz lehen etenaldia baino lehen, eta ziurtatu pertsona horrek tunela amaitu gabe har dezakeela hura. Kontsola bidezko sarbidea, tokiko kudeaketa-portua edo banda kanpoko bidea erantzun baliodunak dira. Bere tunelaren bidez soilik konfigura daitekeen atebidea firmware bidalketa txar baten zain pazientziaz dagoen tranpa da.

Idatzi benetan aurkituko duzun hutsegitearen runbooka: tunela behera, atebidea hilda, ostalariaren diskoa galdua. Mantendu ostalariaren berreskuratze-irudia oraindik dagoen laguntza-akordioaren pean, eta gogoratu berreskuratze batek irudi horren barruko software-egoera eta kredentzialak ere berreskuratzen dituela. Berreskuratu lehenengo segmentu isolatuan, egiaztatu aplikazioa abiarazten dela eta soilik orduan berriz konektatu zerbait; atebidea aldatzen denean, eguneratu runbooka eta inbentarioa saio berean.

Ziurtagiriak, erlojuak eta sinadura-abisuak

Instalatzaile baten ziurtagiriaren iraungitzeak ez du bere kabuz iragartzen sinadura-egiaztapen batek gaur zer esango duen. Microsoften Authenticode denbora-zigiluen gidak azaltzen du denbora-zigilu batek sinadura egiaztagarri mantendu dezakeela sinadura-ziurtagiria iraungi ondoren, eta baliozkotzeak oraindik sinaduraren, konfiantza-katearen eta lana egiten duen egiaztatzailearen mende jarraitzen duela. Beraz, konfiantza-biltegi desberdinak dituzten bi makinak desadostasunean egon daitezke fitxategi berari buruz. Iraungitako sinatzailea ez da fitxategi bitarra gaiztoa denaren froga, eta baliozko sinadura ez da softwarea mantentzen denaren froga.

Ez atzeratu sistema-erlojua eta ez itzali sinadura-egiaztapenak instalatzaile zaharra exekuta dadin. Eskuratu artefaktu baimendua aplikazioa oraindik onartzen duenarengandik eta utzi haiei esaten plataformak zer onartzen duen. Tratatu XPrako azken builda zela dioten mezuak histori gisa, ez instalazio-helburu gisa, benetako betekizuna aplikazioaren araberakoa baita; kontserbazio-lana benetan beharrezkoa bada, mantendu segmentu isolatu batean produkzio-sarbidetik urrun eta dokumentatu zergatik dagoen.