एक साथ दो VPN? पहले एंडपॉइंट की सीमा तय करें

एक साथ जुड़े दो VPN क्लाइंट एक एंडपॉइंट को दो संसाधन डोमेन में रखते हैं, और यह रूटिंग का सवाल बनने से पहले अनुमति का सवाल है। टनल का एन्क्रिप्टेड होना यह नहीं बताता कि उस लैपटॉप पर चलने वाले ऐप्स को दोनों नेटवर्क तक पहुँचना चाहिए या नहीं, या किसी एक नेटवर्क के पीयर को उसके ज़रिये दूसरे तक पहुँचना चाहिए या नहीं। नीचे दी जाँचों को क्रम से पूरा करें और उस पहली जाँच पर रुकें जिसका जवाब कोई न दे सके। उन जवाबों के बिना ओवरलैप को मंजूरी देना वही रास्ता है जिससे एक सुविधाजनक व्यवस्था चुपचाप एक पुल बन जाती है।

असली काम से शुरू करें: हर नेटवर्क में व्यक्ति को कौन-कौन से संसाधन चाहिए, और क्या दोनों नेटवर्क मालिक एक डिवाइस से एक साथ पहुँच की अनुमति देते हैं?

जाँचें कि ओवरलैप की अनुमति कौन देता है

जो दो नेटवर्क अलग-अलग एक ही उपयोगकर्ता को प्रमाणित करते हैं, उनके अब भी अलग मालिक होते हैं, और उन मालिकों की दूसरी जगह भी जुड़े डिवाइसों के बारे में असंगत धारणाएँ हो सकती हैं। कुछ भी डिज़ाइन करने से पहले दोनों से पूछें। अलग-थलग लैपटॉप के लिए लिखी गई रिमोट एक्सेस नीति के पास अक्सर ऐसी मशीन के लिए कोई जवाब ही नहीं होता जो एक ही समय में किसी साझेदार नेटवर्क के अंदर हो।

जवाब लिखित में लें और उसे परिवर्तन रिकॉर्ड के साथ रखें। अगर एक पक्ष मना करता है, तो इस सूची का बाकी हिस्सा सैद्धांतिक है, और आपने अपनी एक डिज़ाइन समीक्षा बचा ली।

दो इंटरफ़ेस को राउटर न मानें

दो सक्रिय इंटरफ़ेस डिवाइस को अपने आप राउटर या ईथरनेट ब्रिज नहीं बना देते। किसी चीज़ को ट्रांज़िट पथ कहने से पहले समर्थित फ़ॉरवर्डिंग, ब्रिजिंग, NAT और प्रॉक्सी कॉन्फ़िगरेशन जाँचें, और डिवाइस के पास पहले से मौजूद कोई भी असंबंधित अधिकृत रूटिंग ज़िम्मेदारियाँ बनाए रखें। जो लैपटॉप स्थानीय कंटेनर नेटवर्क या वर्चुअलाइज़ेशन होस्ट चलाता है वह यहाँ तटस्थ पर्यवेक्षक नहीं है।

अगर ज़रूरत वास्तव में A से B तक ट्रांज़िट है, तो उसकी जगह ऐसे नेटवर्क डिवाइस पर है जिसका मालिक, ऑडिट-योग्य नियमों का सेट और परिवर्तन प्रक्रिया हो। वर्कस्टेशन के ज़रिये इसे गलती से करना वही परिणाम है जिसे रोकने के लिए यह जाँच मौजूद है।

एंडपॉइंट को एक्सेस पॉइंट भी मानें

डिवाइस सिर्फ़ दोनों नेटवर्क का क्लाइंट नहीं है; वह एक होस्ट है जो सेवाएँ देता है। उस मशीन पर अनुमत कोई सेवा होस्ट फ़ायरवॉल और क्लाइंट नीति के अनुसार VPN पीयर से पहुँच योग्य हो सकती है, इसलिए लैपटॉप पर खुला प्रबंधन पोर्ट अब दूरस्थ नेटवर्क की आक्रमण सतह का हिस्सा है। रूट पर बहस करने से पहले सूची बनाएँ कि कौन सुन रहा है, क्योंकि एक बँधा हुआ डीबग पोर्ट किसी भी टनल नीति से भारी पड़ता है। होस्ट सेवाओं को उनके इच्छित स्रोतों और उद्देश्यों तक सीमित रखें।

हर दूरस्थ नेटवर्क को स्पष्ट अनुमतियों वाला संसाधन डोमेन मानें, बजाय इसके कि ट्रैफ़िक एन्क्रिप्टेड आया है इसलिए व्यापक भरोसा दें। NIST की ज़ीरो-ट्रस्ट आर्किटेक्चर संसाधन प्राधिकरण को नेटवर्क स्थान में निहित भरोसे से अलग करती है, और दो टनल वाला लैपटॉप ठीक उसी भेद को धुँधला करता है।

यहाँ रहते हुए एक और सवाल पूछें: अगर कोई स्थानीय सेवा या अधिकृत ऐप समझौता हो जाए, तो उस पैर जमाने से कौन-कौन से संसाधन और क्रेडेंशियल पहुँच योग्य हो जाएँगे? जवाब लिख लें, क्योंकि यही पूरे डिज़ाइन का असली जोखिम वक्तव्य है।

वह कार्य सीमा चुनें जो ख़तरे के मॉडल से मेल खाती हो

प्रति-ऐप रूटिंग प्रोग्रामों को इच्छित टनलों को सौंप सकती है, और अलग कार्य प्रोफ़ाइल, उपयोगकर्ता या समर्थित वर्चुअल वर्कस्पेस प्लेटफ़ॉर्म के अनुसार पहचान और डेटा सीमाएँ जोड़ सकते हैं। सीमा को डेमो से नहीं, ख़तरे के मॉडल से मिलाएँ: पहचान विभाजन के बिना रूटिंग विभाजन अब भी एक ब्राउज़र प्रोफ़ाइल को दोनों सत्र रखने देता है।

नेटवर्क नेमस्पेस रूटिंग और नेटवर्क स्थिति को अलग करता है; वह हर फ़ाइलसिस्टम पथ, क्लिपबोर्ड या क्रेडेंशियल एजेंट को अलग नहीं करता। वर्चुअल मशीन या प्रबंधित प्रोफ़ाइल को भी सोच-समझकर बनाई गई साझा और होस्ट-प्रशासन नीति चाहिए। दर्ज करें कि कौन-से फ़ोल्डर, प्रमाणीकरण सहायक और कॉपी-पेस्ट पथ उपलब्ध रहते हैं, क्योंकि वही चैनल दोनों डोमेन के बीच डेटा वास्तव में ले जाते हैं।

क्रमिक काम के लिए, एक साथ पहुँच बनाए रखने से जान-बूझकर किया गया स्विच आमतौर पर आसान होता है। निर्भर कार्रवाई पूरी करें, फिर अस्पष्ट संदर्भ से जुड़े बैकग्राउंड टूल छोड़ने के बजाय अगले वर्कस्पेस की पहचान और रूट सत्यापित करें।

मंजूरी को नारा नहीं, कार्य के रूप में लिखें

मंजूरी रिकॉर्ड कार्य जैसा पढ़ा जाना चाहिए: सहायता वर्कस्पेस नेटवर्क A के सेवा कंसोल और नेटवर्क B के टिकट पोर्टल तक पहुँच सकता है, बिना किसी अधिकृत A से B फ़ॉरवर्डिंग, बिना साझा क्रेडेंशियल एजेंट और बिना स्वचालित फ़ाइल सिंक के। उस वाक्य का हर खंड किसी ऐसी चीज़ से मेल खाता है जिसे आप कॉन्फ़िगर और परख सकते हैं।

फिर नकारात्मक मामलों को जाँचें, सिर्फ़ सकारात्मक को नहीं। ऐसे संसाधन तक पहुँचने की कोशिश करें जो सीमा से बाहर होना चाहिए, पुष्टि करें कि होस्ट सेवा दूसरी तरफ़ से जवाब नहीं दे रही, और जाँचें कि क्रेडेंशियल सहायक चुपचाप दोनों डोमेन को सेवा नहीं दे रहा।

रिकॉर्ड डिवाइस के साथ रखें, सिर्फ़ टिकट में नहीं, ताकि इस व्यवस्था को विरासत में पाने वाला अगला व्यक्ति जान सके कि कौन-सी सीमा जान-बूझकर थी। दो टनल और लिखित सीमा के बिना लैपटॉप को ग़लत कॉन्फ़िगरेशन से अलग नहीं पहचाना जा सकता।