Sijoita VPN-yhdyskäytävä Windows XP:n viereen, ei sen sisään

Jossakin rakennuksessa seisoo kone, joka ajaa sovellusta, jota kukaan ei voi korvata, käyttöjärjestelmällä, jota ei pitäisi kytkeä mihinkään. Liikkuminen ulospäin kyseisen isännän verkkosovittimesta on nopein tapa nähdä, mihin tunneli kuuluu. Useimmissa suunnitelmissa se ei kuulu isännälle lainkaan. Siirrä se yhden hypyn päähän ylläpidettyyn yhdyskäytävään, ja vanha ongelma kutistuu takaisin sovellukseksi, josta se alkoi.

Aloita isännän sovittimesta, älä VPN-asiakkaasta

Avaa sovittimen ominaisuudet ja anna isännälle kiinteä osoite pienessä erillisessä segmentissä, yhdyskäytävä sen oletusreittinä. Silloin isäntä ei tarvitse tunneliasiakasta, tunnelin tunnuksia eikä laajempaan yritysverkkoon ulottuvia reititystaulun merkintöjä. Jos sovellus tarvitsee yhden etäaliverkon, lisää täsmälleen se yksi reitti.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Tämä komento kiinnittää yhden kohteen yhdyskäytävään ja jättää kaiken muun reitittämättä, ja se on haluttu muoto. Vahvista tulos komennolla route print sen sijaan, että luottaisit poistumiskoodiin. Tarkista sitten, että sovellus yhä selvittää palvelimensa nimen, sillä rikkinäisellä nimipalvelimella varustettu vanha isäntä näyttää täsmälleen verkkohäiriöltä, ja nimipalvelimen korjaaminen on viiden minuutin työ, kun taas sovelluksen uudelleenrakentaminen väärän verkkomuutoksen jälkeen ei ole. Jokainen kohde, johon isäntä ei pääse, on yksi asia vähemmän, johon vanha verkko-pino voidaan suostutella hyökkäämään.

Laita tunneli laitteistoon, jota voit päivittää

Yhdyskäytävä haluaa kaksi liitäntää: yhden isännän segmenttiin ja yhden sinne, missä sovellus asuu, ja tunneli päättyy toiseen. Laite voi vastaanottaa laiteohjelmistopäivityksiä, vaihtaa salauskonfiguraationsa ja kirjata virtoja ilman, että kukaan koskee vanhaan koneeseen. Sen toimittaja toimittaa myös korjauksia tunnelin toteutukseen, joita isäntä ei koskaan saa. Kaksi konetta ja määräaika eivät ole syy kopioida staattisen salaisuuden reseptiä foorumiviestistä.

Anna jokaiselle yhdyskäytävälle oma vertaisidentiteetti sen sijaan, että kloonaisit yhden asiakaskonfiguraation koko laivueelle. Kun yksikkö vaihdetaan, peruuta vanha identiteetti samalla hetkellä kun tuot uuden verkkoon, muuten jäljelle jää kaksi hallitsematonta kopiota, jotka todentuvat samaan päätepisteeseen. Säilytä avaimet siellä, missä yhdyskäytävän hallintataso niitä odottaa, kohtele konfiguraation varmuuskopiota salaisuutena ja tarkista, kuka voi työntää kyseisen konfiguraation, sillä nyt se päättää, mihin vanha isäntä pääsee.

Salli palvelut, älä verkot

Kirjoita käytäntö protokollan, portin ja suunnan mukaan kahden liitännän välillä. Yksi sallittu portti yhteen sovellusosoitteeseen on tavallinen vastaus, ja hyppypalvelimen kautta kulkeva hallintapolku kattaa loput.

Vanhan isännän etähallinta ei saisi kulkea samalla säännöllä kuin sovellus, ja kieltäytymisen testaaminen on yhtä tärkeää kuin säännön kirjoittaminen. Lähetä isännästä yksi pyyntö kohteeseen, jonka odotat tulevan hylätyksi, ja vahvista, että hylkäys tulee käytännöstä eikä puuttuvasta reitistä. Kirjaa sallitut virrat, kun suunnitelma on uusi, jotta näet, mitä sovellus todella käyttää, et mitä sen dokumentaatio väittää. Kahden aliverkon yhdistäminen siksi, että sillattu opas näytti lyhyemmältä, on tapa, jolla vanhasta segmentistä hiljaa tulee ponnahduslauta.

Älä altista vanhaa kuuntelijaa suoraan internetiin oikotienä yhdyskäytävän ohi. Pidä hallintapolku erillään sovelluksen polusta, jotta toisen vaarantuminen ei luovuta toista. Sääntö, jota ei koskaan harjoiteta, on sääntö, jota kukaan ei ole vahvistanut, ja siksi kielletty kohde kuuluu hyväksymisajoon.

Palautuksen on toimittava ilman tunnelia

Päätä, kuka päivittää ja palauttaa yhdyskäytävän ennen ensimmäistä katkoa, ja varmista, että tämä henkilö pääsee siihen ilman tunnelia, jonka se päättää. Konsoliyhteys, paikallinen hallintaportti tai kaistanulkoinen polku kelpaavat kaikki vastauksiksi. Yhdyskäytävä, joka voidaan määrittää vain sen tarjoaman tunnelin kautta, on ansa, joka odottaa kärsivällisesti huonoa laiteohjelmistotyöntöä.

Kirjoita toimintakäsikirja vikaantumiselle, jonka todella kohtaat: tunneli alhaalla, yhdyskäytävä kuollut, isännän levy poissa. Pidä isännän palautuskuva missä tahansa tukijärjestelyssä, joka vielä on olemassa, ja muista, että palautus palauttaa myös ohjelmiston tilan ja kuvan sisällä olevat tunnukset. Palauta ensin eristettyyn segmenttiin, vahvista, että sovellus käynnistyy, ja yhdistä vasta sitten jotain uudelleen; kun yhdyskäytävä muuttuu, päivitä toimintakäsikirja ja inventaario samassa istunnossa.

Varmenteet, kellot ja allekirjoitusvaroitukset

Asentajan varmenteen vanheneminen ei sinänsä ennusta, mitä allekirjoituksen tarkistus tänään sanoo. Microsoftin Authenticode-aikaleimojen ohje selittää, että aikaleima voi pitää allekirjoituksen tarkistettavana allekirjoitusvarmenteen vanhenemisen jälkeen, ja validointi riippuu edelleen allekirjoituksesta, luottamusketjusta ja työn tekevästä tarkistajasta. Siksi kaksi eri luottamusvarastoilla varustettua konetta voivat olla eri mieltä samasta tiedostosta. Vanhentunut allekirjoittaja ei ole todiste siitä, että binaari on haitallinen, eikä kelvollinen allekirjoitus ole todiste siitä, että ohjelmistoa ylläpidetään.

Älä siirrä järjestelmän kelloa taaksepäin äläkä kytke allekirjoituksen tarkistuksia pois päältä saadaksesi vanhan asentajan toimimaan. Hanki valtuutettu artefakti siltä, joka yhä tukee sovellusta, ja anna heidän kertoa, mitä alusta hyväksyy. Kohtele väitteitä siitä, että tietty build oli viimeinen XP:lle, historiana äläkä asennuskohteena, koska todellinen vaatimus riippuu sovelluksesta; jos säilytystyö on todella tarpeen, pidä se eristetyssä segmentissä kaukana tuotantoympäristön pääsystä ja dokumentoi, miksi se on olemassa.