دروازه VPN را کنار Windows XP بگذارید، نه داخل آن

جایی در ساختمان ماشینی هست که برنامه‌ای را اجرا می‌کند که هیچ‌کس نمی‌تواند جایگزینش کند، روی سیستم‌عاملی که نباید به چیزی وصل شود. رفتن به بیرون از آداپتور شبکه آن میزبان سریع‌ترین راه برای دیدن این است که تونل کجا باید باشد. در بیشتر طراحی‌ها تونل اصلاً به میزبان تعلق ندارد. آن را یک پله دورتر به دروازه‌ای نگهداری‌شده منتقل کنید، و مشکل قدیمی به همان برنامه‌ای که با آن شروع شد کوچک می‌شود.

از آداپتور میزبان شروع کنید، نه از کلاینت VPN

ویژگی‌های آداپتور را باز کنید و به میزبان نشانی ثابت در یک بخش کوچک اختصاصی بدهید، با دروازه به‌عنوان مسیر پیش‌فرض آن. آن‌گاه میزبان نه کلاینت تونل می‌خواهد، نه اعتبارنامه تونل و نه ورودی‌های جدول مسیریابی به شبکه گسترده‌تر سازمان. اگر برنامه به یک زیرشبکه دور نیاز دارد، دقیقاً همان یک مسیر را اضافه کنید.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

آن فرمان یک مقصد را به دروازه سنجاق می‌کند و بقیه را بدون مسیر می‌گذارد، و این همان شکلی است که می‌خواهید. نتیجه را با route print تأیید کنید، نه با اعتماد به کد خروج. سپس بررسی کنید که برنامه هنوز نام سرور خود را حل می‌کند، زیرا میزبان قدیمی با حل‌کننده خراب دقیقاً شبیه خطای شبکه به نظر می‌رسد، و درست کردن حل‌کننده کاری پنج‌دقیقه‌ای است در حالی که بازسازی برنامه پس از یک تغییر شبکه اشتباه چنین نیست. هر مقصدی که میزبان به آن نمی‌رسد یک چیز کمتر است که می‌توان پشته شبکه قدیمی را به حمله به آن وسوسه کرد.

تونل را روی سخت‌افزاری بگذارید که می‌توانید به‌روز کنید

دروازه دو رابط می‌خواهد: یکی رو به بخش میزبان و یکی رو به جایی که برنامه زندگی می‌کند، با تونلی که روی دومی تمام می‌شود. آن دستگاه می‌تواند به‌روزرسانی‌های فرم‌ور را بگیرد، پیکربندی رمزنگاری‌اش را عوض کند و جریان‌ها را ثبت کند بدون اینکه کسی به ماشین قدیمی دست بزند. فروشنده‌اش هم اصلاحاتی برای پیاده‌سازی تونل عرضه می‌کند که میزبان هرگز دریافت نخواهد کرد. دو ماشین و یک مهلت دلیلی برای کپی کردن دستور یک راز ثابت از یک پست انجمن نیست.

به هر دروازه هویت همتای خودش را بدهید، به‌جای اینکه یک پیکربندی کلاینت را روی یک ناوگان کلون کنید. وقتی دستگاهی جایگزین می‌شود، هویت قدیمی را همان لحظه‌ای که جدید را آنلاین می‌کنید باطل کنید، وگرنه با دو نسخه کنترل‌نشده که به یک نقطه پایانی احراز هویت می‌کنند می‌مانید. کلیدها را همان‌جایی نگه دارید که صفحه مدیریت دروازه انتظار دارد، از نسخه پشتیبان پیکربندی مثل یک راز محافظت کنید و بررسی کنید چه کسی می‌تواند آن پیکربندی را ارسال کند، چون اکنون تصمیم می‌گیرد میزبان قدیمی به چه چیزی دسترسی دارد.

سرویس‌ها را مجاز کنید، نه شبکه‌ها را

سیاست را بر حسب پروتکل، پورت و جهت بین دو اتصال بنویسید. یک پورت مجاز به یک نشانی برنامه پاسخ معمول است، و یک مسیر مدیریتی از طریق میزبان پرش بقیه را پوشش می‌دهد.

مدیریت از راه دور میزبان قدیمی نباید با همان قاعده برنامه حرکت کند، و آزمودن رد شدن به‌اندازه نوشتن قاعده اهمیت دارد. یک درخواست از میزبان به مقصدی بفرستید که انتظار رد شدنش را دارید و تأیید کنید که رد از سوی سیاست می‌آید، نه از یک مسیر گم‌شده. جریان‌هایی را که مجاز می‌کنید تا وقتی طراحی تازه است ثبت کنید، تا ببینید برنامه واقعاً چه چیزی استفاده می‌کند نه آنچه مستنداتش ادعا می‌کند. ادغام دو زیرشبکه چون یک آموزش پل‌شده کوتاه‌تر به نظر می‌رسید همان راهی است که یک بخش قدیمی بی‌صدا به سکوی پرتاب تبدیل می‌شود.

شنونده قدیمی را به‌عنوان میان‌بری دور دروازه مستقیم در معرض اینترنت قرار ندهید. مسیر مدیریتی را از مسیر برنامه جدا نگه دارید تا نفوذ به یکی دیگری را تحویل ندهد. قاعده‌ای که هرگز اجرا نمی‌شود قاعده‌ای است که هیچ‌کس آن را تأیید نکرده، و به همین دلیل مقصد ردشده در اجرای پذیرش جای دارد.

بازیابی باید بدون تونل کار کند

قبل از اولین قطعی تصمیم بگیرید چه کسی دروازه را به‌روز و بازیابی می‌کند و مطمئن شوید آن شخص بدون تونلی که دروازه پایان می‌دهد به آن دسترسی دارد. دسترسی کنسول، پورت مدیریت محلی یا مسیر خارج از باند همه پاسخ‌های قابل قبول‌اند. دروازه‌ای که فقط از طریق تونلی که خودش فراهم می‌کند قابل پیکربندی است تله‌ای است که صبورانه منتظر یک ارسال بد فرم‌ور می‌ماند.

راهنمای عملیاتی خرابی‌ای را بنویسید که واقعاً با آن روبه‌رو می‌شوید: تونل پایین، دروازه مرده، دیسک میزبان رفته. تصویر بازیابی میزبان را زیر هر ترتیب پشتیبانی که هنوز وجود دارد نگه دارید و به یاد داشته باشید که بازیابی، وضعیت نرم‌افزار و اعتبارنامه‌های داخل آن تصویر را هم برمی‌گرداند. ابتدا روی بخش جدا‌شده بازیابی کنید، تأیید کنید برنامه شروع می‌شود و تنها بعد چیزی را دوباره وصل کنید؛ وقتی دروازه تغییر می‌کند، راهنما و فهرست دارایی‌ها را در همان نشست به‌روز کنید.

گواهی‌ها، ساعت‌ها و هشدارهای امضا

انقضای گواهی یک نصب‌کننده به‌خودی‌خود پیش‌بینی نمی‌کند که بررسی امضا امروز چه خواهد گفت. راهنمای Microsoft درباره مهرهای زمانی Authenticode توضیح می‌دهد که یک مهر زمانی می‌تواند امضا را پس از انقضای گواهی امضا قابل بررسی نگه دارد، و اعتبارسنجی هنوز به امضا، زنجیره اعتماد و تأییدکننده‌ای که کار را انجام می‌دهد بستگی دارد. بنابراین دو ماشین با مخزن‌های اعتماد متفاوت می‌توانند درباره یک فایل اختلاف داشته باشند. امضاکننده منقضی شده دلیل بدخواه بودن یک فایل دودویی نیست، و امضای معتبر دلیل نگهداری‌شده بودن نرم‌افزار نیست.

ساعت سیستم را عقب نبرید و بررسی‌های امضا را خاموش نکنید تا یک نصب‌کننده قدیمی اجرا شود. یک اثر مجاز را از کسی که هنوز از برنامه پشتیبانی می‌کند بگیرید و بگذارید آن‌ها بگویند پلتفرم چه چیزی را می‌پذیرد. پست‌هایی را که ادعا می‌کنند یک بیلد مشخص آخرین بیلد برای XP بوده به‌عنوان تاریخ ببینید نه هدف نصب، زیرا نیاز واقعی به برنامه بستگی دارد؛ اگر کار حفاظتی واقعاً لازم است، آن را در بخشی جدا‌شده دور از دسترسی تولید نگه دارید و مستند کنید چرا وجود دارد.