Twa VPN's tagelyk? Bepaal earst de grins fan it einpunt

Twa tagelyk ferbûne VPN-klanten sette ien einpunt yn twa boarnedomeinen, en dat is in autorisaasjefraach foardat it in routingfraach is. Dat de tunnels fersifere binne, seit neat oer de fraach oft de applikaasjes op dy laptop beide netwurken berikke moatte, of oft in pear fan it iene netwurk it oare der trochhinne berikke moat. Wurkje de kontrôles hjirûnder yn folchoarder troch en stop by de earste dy't nimmen beantwurdzje kin. It oerlaap goedkarre sûnder dy antwurden is de manier wêrop in handige regeling stil in brêge wurdt.

Begjin by it echte wurk: hokker boarnen yn elk netwurk hat de persoan nedich, en tastean beide netwurkseigners tagelyk tagong fan ien apparaat?

Kontrolearje wa't it oerlaap tastiet

Twa netwurken dy't elk deselde brûker autentisearje hawwe noch altyd aparte eigners, en dy eigners kinne net-ferienbere oannames hawwe oer apparaten dy't ek earne oars oansletten binne. Freegje beide foardat jo eat ûntwerpe. In belied foar tagong op ôfstân dat foar isolearre laptops skreaun is, hat faak hielendal gjin antwurd foar in masine dy't tagelyk binnen in partnernetwurk stiet.

Krij it antwurd skriftlik en bewarje it by it feroaringsregister. As ien kant nee seit, is de rest fan dizze list akademysk, en hawwe jo josels in ûntwerpevaluaasje besparre.

Behandelje twa ynterfaces net as in router

Twa aktive ynterfaces meitsje it apparaat net automatisch in router of in Ethernet-brêge. Kontrolearje de stipe trochstjoer-, brêge-, NAT- en proxykonfiguraasje foardat jo eat as in trochgongspaad beskriuwe, en behâld elk net-relatearre autorisearre routingstaken dat it apparaat al hat. In laptop dy't in lokaal kontenernetwurk of in firtualisearrings-host draait, is hjir gjin neutrale waarnimmer.

As de eask echt in trochgong fan A nei B is, heart dat op in netwurkapparaat mei in eigner, in kontrolearbere regelset en in feroaringsproses. It by ûngelok dwaan fia in wurkstasjon is it resultaat dat dizze kontrôle bestiet om te foarkommen.

Behandelje it einpunt ek as tagongspunt

It apparaat is net allinne klant fan beide netwurken; it is in host dy't tsjinsten biedt. In tastiene tsjinst op dy masine kin berikber wêze fan in VPN-pear neffens de hostfirewall en it kliïntbelied, dus in bleatsteld behearport op 'e laptop is no diel fan it oanfalsoerflak fan it fiere netwurk. List op wat der harket foardat jo oer rûtes diskusjearje, want ien bûn debugport weaget swierder as hokker tunnelbelied dan ek. Hâld hoststsjinsten beheind ta har bedoelde boarnen en doelen.

Behandelje elk fier netwurk as in boarnedomein mei útdruklike tastimmingen ynstee fan brede fertrouwen te jaan om't it ferkear fersifere oankaam. De nulfertrouwens-arsjitektuer fan NIST skiedt autorisaasje fan boarnen fan ymplisite fertrouwen yn netwurklokaasje, en dat is krekt it ferskil dat in laptop mei twa tunnels frjemdet.

Stel noch ien fraach wylst jo hjir binne: as in lokale tsjinst of in autorisearre applikaasje kompromittearre waard, hokker boarnen en befiningssoanwizen soene dan berikber wurde fanôf dat steunpunt? Skriuw it antwurd del, want it is de echte risikostelling foar it hiele ûntwerp.

Kies de wurkgrins dy't by it bedrigingsmodel past

Routing per applikaasje kin programma's oan bedoelde tunnels tawize, en aparte wurkprofylen, brûkers of stipe firtuele wurkromten kinne identiteits- en datagrinzen tafoegje ôfhinklik fan it platfoarm. Pas de grins oan it bedrigingsmodel oan, net oan 'e demo: in routingdieling sûnder identiteitsdieling lit noch altyd ien browserprofyl beide sesjes hâlde.

In netwurknammrom isolearret routing en netwurksteat; it isolearret net elk paad yn it bestânsysteem, it klamboerd of de befiningsagent. In firtuele masine of in beheard profyl hat likegoed in bewust diel- en hostbehear belied nedich. Registrearje hokker mappen, autentikaasjehelpers en kopiearje-plak-paden beskikber bliuwe, want dat binne de kanalen dy't echt gegevens tusken de twa domeinen drage.

Foar sekuer wurk is in bewuste oerskeakeling meastentiids ienfâldiger as tagelyk tagong hâlde. Meitsje de ôfhinklike bewurking dien en kontrolearje dan de identiteit en rûte fan 'e folgjende wurkromte ynstee fan eftergrûnhelpmiddelen oan in ûndúdlike kontekst fêst te litten.

Skriuw de goedkarring as in taak, net as in slogan

In goedkarringsregister moat as in taak lêze: de stipewurkromte mei de tsjinstkonsôle fan Netwurk A en it ticketportaal fan Netwurk B berikke, sûnder autorisearre trochstjoering fan A nei B, sûnder dielde befiningsagent en sûnder automatyske bestânssynkronisaasje. Elk part fan dy sin komt oerien mei eat dat jo konfigurearje en testen kinne.

Kontrolearje dan de negative gefallen, net allinne de positive. Besykje in boarne te berikken dy't bûten de grins bliuwe moat, befêstigje dat de hosttsjinst net fan 'e oare kant antwurdet, en kontrolearje dat de befiningshelper net stil beide domeinen tsjinnet.

Bewarje it register by it apparaat, net allinne yn it ticket, sadat de folgjende persoan dy't de regeling erft wit hokker grins bewust wie. In laptop mei twa tunnels en gjin skreaune grins is net te ûnderskieden fan in ferkearde konfiguraasje.