Set de VPN-poarte njonken Windows XP, net deryn

Earnewêr yn it gebou stiet in masine dy't in applikaasje draait dy't nimmen ferfange kin, op in bestjoeringssysteem dat oan neat ferbûn wurde moat. Fan 'e netwurkadapter fan dy host nei bûten gean is de fluchste manier om te sjen wêr't de tunnel heart. Yn de measte ûntwerpen heart er hielendal net op 'e host. Ferpleats him ien sprong fuort nei in ûnderholden poarte, en it âlde probleem krimpt werom nei de applikaasje dêr't it mei begon.

Begjin by de hostadapter, net by in VPN-klant

Iepenje de adaptereigenskippen en jou de host in fêst adres op in lyts tawijd segmint, mei de poarte as syn standertrûte. Dan hat de host gjin tunnelklant, gjin tunnelbewizen en gjin rûtetabel-yngongen nei it bredere bedriuwsnetwurk nedich. As de applikaasje ien fiere subnet nedich hat, foegje krekt dy iene rûte ta.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Dat kommando pinet ien bestimming oan 'e poarte en lit al it oare sûnder rûte, en dat is de foarm dy't jo wolle. Befêstigje it resultaat mei route print ynstee fan op 'e útgongskoade te fertrouwen. Kontrolearje dan oft de applikaasje noch syn servernamme oplost, want in âlde host mei in stikken resolver liket krekt op in netwurkflater, en de resolver reparearje is in putsje fan fiif minuten wylst it werbouwen fan in applikaasje nei in ferkearde netwurkwizing dat net is. Elke bestimming dy't de host net berikke kin, is ien ding minder dêr't in âlde netwurkstapel ta oanfallen oerhelle wurde kin.

Set de tunnel op hardware dy't jo bywurkje kinne

De poarte wol twa ynterfaces: ien nei it hostsegmint en ien nei it plak dêr't de applikaasje wennet, mei de tunnel dy't op 'e twadde einiget. Dat apparaat kin firmware-updates krije, syn kryptografyske konfiguraasje ferfange en floeien logge sûnder dat immen de âlde masine oanrekket. Syn leveransier leveret ek fixes foar de tunnelimplikaasje, dy't de host nea krije sil. Twa masines en in deadline binne gjin reden om in resept mei statyske geheimnissen fan in forumberjocht te kopiearjen.

Jou elke poarte syn eigen peer-identiteit ynstee fan ien klantkonfiguraasje oer in float te klonearjen. As in ienheid ferfongen wurdt, lûk de âlde identiteit yn op itselde momint dat jo de nije online bringe, oars bliuwe jo efter mei twa net-behearde kopyen dy't by itselde einpunt autentisearje. Bewarje de kaaien dêr't it beheardflak fan 'e poarte se ferwachtet, behannelje in konfiguraasjeback-up as in geheim en besjoch wa't dy konfiguraasje pushje kin, want dy bepaalt no wat de âlde host berikke kin.

Stean tsjinsten ta, gjin netwurken

Skriuw it belied yn termen fan protokol, poarte en rjochting tusken de twa oanslutings. Ien tastiene poarte nei ien applikaasjeadres is it gewoane antwurd, en in administratyf paad fia in springhost dekt de rest.

Fier behear fan 'e âlde host moat net op deselde regel as de applikaasje ride, en it testen fan 'e wegering is like wichtich as it skriuwen fan 'e regel. Stjoer ien fersyk fan 'e host nei in bestimming dêr't jo wegering fan ferwachtsje en befêstigje dat de wegering fan it belied komt en net fan in ûntbrekkende rûte. Log de floeien dy't jo tastean wylst it ûntwerp nij is, sadat jo sjogge wat de applikaasje echt brûkt en net wat syn dokumintaasje beweart. Twa subnets gearfoegje om't in brêge tutorial koarter like, is hoe't in âld segmint stil in springplanke wurdt.

Bliedt de âlde listener net direkt oan it ynternet as in ferkoarting om 'e poarte hinne. Hâld it administratyf paad apart fan it applikaasjepaad, sadat in kompromis fan ien de oare net oerleveret. In regel dy't nea útoefene wurdt, is in regel dy't nimmen ferifiearre hat, en dêrom heart de wegere bestimming yn 'e akseptaasjerun.

Weromsette moat sûnder de tunnel wurkje

Beslis wa't de poarte bywurket en weromset foar de earste útlitting, en soargje dat dy persoan der komme kin sûnder de tunnel dy't it beëiniget. Konsel tagong, in pleatslike behearspoarte of in bûtenbânpaad telle allegear as antwurden. In poarte dy't allinne fia de tunnel dy't it leveret konfigurearre wurde kin, is in falstrik dy't geduldich op in minne firmware-push wachtet.

Skriuw it runbook foar de flater dy't jo echt tsjinkomme: tunnel del, poarte dea, hostskiif fuort. Hâld de weromsetbyld fan 'e host ûnder hokker stipe-arranzjemint dan ek noch bestiet, en tink derom dat in restauraasje ek de softwarestân en de bewizen yn dat byld weromset. Set earst werom op it isolearre segmint, befêstigje dat de applikaasje start, en ferbyn dan pas wer eat; as de poarte feroaret, bywurkje it runbook en de ynventaris yn deselde sitting.

Sertifikaten, klokken en ûndertekeningswarskôgings

It ferrinnen fan it sertifikaat fan in ynstallearder foarseit op himsels net wat in hantekeningkontrôle hjoed sizze sil. Microsoft syn lieding oer Authenticode-tiidstimpels ferklearret dat in tiidstimpel in hantekening ferifiearber hâlde kin nei't it ûndertekeningssertifikaat ferrint, en dat falidaasje noch altyd ôfhinget fan 'e hantekening, de fertrouwensketen en de ferifiearder dy't it wurk docht. Twa masines mei ferskillende fertrouwensopslach kinne it dêrom oer itselde bestân net iens wêze. In ferrûn ûndertekenier is gjin bewiis dat in binary kwea is, en in jildige hantekening is gjin bewiis dat de software ûnderholden wurdt.

Ferpleats de systeemklok net efterút en skeakelje hantekeningkontrôles net út om in âlde ynstallearder draaie te litten. Krij in autorisearre artefakt by wa't de applikaasje noch stipet, en lit har sizze wat it platfoarm akseptearret. Behannel berjochten dy't beweare dat in bepaalde build de lêste foar XP wie as skiednis, net as ynstallaasjedoel, want de echte eask hinget fan 'e applikaasje ôf; as preservaasjewurk echt nedich is, hâld it op in isolearre segmint fuort fan produksjetagong en dokumintearje wêrom't it bestiet.