Kaksi VPN:ää yhtä aikaa? Määritä ensin päätepisteen raja

Kaksi samanaikaisesti yhdistettyä VPN-asiakasohjelmaa asettaa yhden päätepisteen kahteen resurssialueeseen, ja se on valtuutuskysymys ennen kuin se on reitityskysymys. Se, että tunnelit on salattu, ei kerro mitään siitä, pitäisikö kyseisen kannettavan ohjelmien päästä molempiin verkkoihin tai pitäisikö yhden verkon vertaisen päästä sen kautta toiseen. Käy alla olevat tarkistukset järjestyksessä ja pysähdy ensimmäiseen, johon kukaan ei osaa vastata. Päällekkäisyyden hyväksyminen ilman noita vastauksia on tapa, jolla kätevä järjestely muuttuu hiljaa sillaksi.

Aloita varsinaisesta työstä: mitä resursseja kussakin verkossa henkilö tarvitsee, ja sallivatko molemmat verkkojen omistajat samanaikaisen pääsyn yhdestä laitteesta?

Tarkista, kuka sallii päällekkäisyyden

Kahdella verkolla, jotka kumpikin todentavat saman käyttäjän, on silti erilliset omistajat, ja näillä omistajilla voi olla yhteensopimattomia oletuksia laitteista, jotka on liitetty myös muualle. Kysy molemmilta ennen kuin suunnittelet mitään. Eristetyille kannettaville kirjoitettu etäkäyttökäytäntö ei usein anna lainkaan vastausta koneelle, joka on samanaikaisesti kumppaniverkon sisällä.

Hanki vastaus kirjallisesti ja säilytä se muutosmerkinnän kanssa. Jos toinen puoli sanoo ei, tämän luettelon loppuosa on akateeminen, ja säästyit suunnittelukatsaukselta.

Älä kohtele kahta rajapintaa reitittimenä

Kaksi aktiivista rajapintaa ei automaattisesti tee laitteesta reititintä tai Ethernet-siltaa. Tarkista tuettu edelleenlähetys-, silta-, NAT- ja välityspalvelinmääritys ennen kuin kuvailet mitään läpikulkureitiksi, ja säilytä kaikki laitteella jo olevat riippumattomat valtuutetut reititystehtävät. Kannettava, jossa on paikallinen konttiverkko tai virtualisointi-isäntä, ei ole tässä puolueeton tarkkailija.

Jos vaatimus todella on siirtymä A:sta B:hen, se kuuluu verkkolaitteelle, jolla on omistaja, auditoitava sääntöjoukko ja muutosprosessi. Sen tekeminen vahingossa työaseman kautta on tulos, jonka estämiseksi tämä tarkistus on olemassa.

Kohtele päätepistettä myös käyttöpisteenä

Laite ei ole vain molempien verkkojen asiakas; se on isäntä, joka tarjoaa palveluja. Kyseisen koneen sallittu palvelu voi olla VPN-vertaisen tavoitettavissa isännän palomuurin ja asiakaskäytännön mukaan, joten kannettavan avoin hallintaportti on nyt osa etäverkon hyökkäyspintaa. Luettele, mikä kuuntelee, ennen kuin väittelet reiteistä, koska yksi sidottu viritysportti painaa enemmän kuin mikään tunnelikäytäntö. Pidä isännän palvelut niiden aiottujen lähteiden ja tarkoitusten rajoissa.

Kohtele jokaista etäverkkoa resurssialueena, jolla on nimenomaiset käyttöoikeudet, sen sijaan että antaisit laajan luottamuksen siksi, että liikenne saapui salattuna. NIST:n nollaluottamusarkkitehtuuri erottaa resurssien valtuutuksen verkkosijaintiin kohdistuvasta implisiittisestä luottamuksesta, ja juuri tämän eron kahden tunnelin kannettava hämärtää.

Kysy vielä yksi kysymys täällä ollessasi: jos paikallinen palvelu tai valtuutettu sovellus vaarantuisi, mitkä resurssit ja tunnukset olisivat tavoitettavissa siitä tukikohdasta? Kirjoita vastaus muistiin, koska se on koko suunnittelun todellinen riskilausuma.

Valitse työraja, joka sopii uhkamalliin

Sovelluskohtainen reititys voi osoittaa ohjelmat aiottuihin tunneleihin, ja erilliset työprofiilit, käyttäjät tai tuetut virtuaaliset työtilat voivat lisätä identiteetti- ja datarajoja alustan mukaan. Sovita raja uhkamalliin, ei esittelyyn: reitityksen jakaminen ilman identiteetin jakamista jättää silti yhden selainprofiilin pitämään molemmat istunnot.

Verkkonimiavaruus eristää reitityksen ja verkon tilan; se ei eristä jokaista tiedostojärjestelmän polkua, leikepöytää tai tunnusagenttia. Virtuaalikone tai hallittu profiili tarvitsee samoin harkitun jakamis- ja isäntähallintakäytännön. Kirjaa, mitkä kansiot, todennusapurit ja kopioi-liitä-polut pysyvät käytettävissä, koska juuri ne kanavat todella kuljettavat dataa kahden alueen välillä.

Peräkkäisessä työssä tarkoituksellinen vaihto on yleensä yksinkertaisempi kuin samanaikaisen pääsyn ylläpitäminen. Suorita riippuva toimenpide loppuun ja tarkista sitten seuraavan työtilan identiteetti ja reitti sen sijaan, että jättäisit taustatyökalut epäselvään kontekstiin.

Kirjoita hyväksyntä tehtävänä, ei iskulauseena

Hyväksyntämerkinnän pitäisi lukea kuin tehtävä: tukityötila voi päästä verkon A palvelukonsoliin ja verkon B tikettiportaaliin, ilman valtuutettua edelleenlähetystä A:sta B:hen, ilman jaettua tunnusagenttia ja ilman automaattista tiedostojen synkronointia. Jokainen tuon lauseen osa vastaa jotain, jonka voi määrittää ja testata.

Tarkista sitten kielteiset tapaukset, ei vain myönteisiä. Yritä päästä resurssiin, jonka pitäisi olla rajan ulkopuolella, varmista, että isännän palvelu ei vastaa toiselta puolelta, ja tarkista, ettei tunnusapuri palvele hiljaa molempia alueita.

Säilytä merkintä laitteen mukana, ei vain tiketissä, jotta seuraava järjestelyn perivä henkilö tietää, mikä raja oli tarkoituksellinen. Kannettavaa, jossa on kaksi tunnelia eikä kirjallista rajaa, ei voi erottaa virheellisestä määrityksestä.