Két VPN egyszerre? Először határozza meg a végpont határát

Két egyszerre csatlakoztatott VPN-kliens egy végpontot két erőforrás-tartományba helyez, és ez engedélyezési kérdés, mielőtt útválasztási kérdés lenne. Az, hogy az alagutak titkosítottak, semmit nem mond arról, hogy az adott laptop alkalmazásainak el kellene-e érniük mindkét hálózatot, vagy hogy az egyik hálózat partnere elérheti-e rajta keresztül a másikat. Haladjon végig az alábbi ellenőrzéseken sorrendben, és álljon meg az elsőnél, amelyre senki nem tud válaszolni. Az átfedés jóváhagyása e válaszok nélkül az az út, amelyen egy kényelmes elrendezés csendben híddá válik.

Kezdje a tényleges munkával: milyen erőforrásokra van szüksége a személynek az egyes hálózatokban, és mindkét hálózat tulajdonosa engedélyezi-e az egyidejű hozzáférést egyetlen eszközről?

Ellenőrizze, ki engedélyezi az átfedést

Két hálózat, amely külön-külön ugyanazt a felhasználót hitelesíti, továbbra is külön tulajdonosokkal rendelkezik, és ezeknek a tulajdonosoknak összeegyeztethetetlen feltevéseik lehetnek a máshol is csatlakoztatott eszközökről. Kérdezze meg mindkettőt, mielőtt bármit tervez. Az elkülönített laptopokra írt távoli hozzáférési szabályzatnak gyakran egyáltalán nincs válasza olyan gépre, amely egyidejűleg egy partnerhálózaton belül van.

Szerezze be a választ írásban, és őrizze meg a változási rekorddal együtt. Ha az egyik fél nemet mond, a lista többi része akadémikus, és megspórolt magának egy tervezési felülvizsgálatot.

Ne kezeljen két interfészt routerként

Két aktív interfész nem teszi automatikusan routerré vagy Ethernet-híddá az eszközt. Ellenőrizze a támogatott továbbítási, híd-, NAT- és proxybeállításokat, mielőtt bármit átjárási útvonalként írna le, és őrizze meg az eszköz bármely, már meglévő, független, engedélyezett útválasztási feladatát. Az a laptop, amely helyi konténerhálózatot vagy virtualizációs gazdagépet futtat, itt nem semleges megfigyelő.

Ha a követelmény valóban A-ból B-be történő átjárás, annak a helye olyan hálózati eszközön van, amellyel rendelkezik tulajdonos, ellenőrizhető szabálykészlet és változási folyamat. Véletlenül munkaállomáson keresztül megvalósítani pont az az eredmény, amelynek megelőzésére ez az ellenőrzés létezik.

Tekintse a végpontot hozzáférési pontnak is

Az eszköz nemcsak mindkét hálózat kliense, hanem gazdagép, amely szolgáltatásokat kínál. Az adott gépen engedélyezett szolgáltatás a gazdagép tűzfala és az ügyfél szabályzata szerint elérhető lehet egy VPN-partnerből, tehát a laptopon nyitott felügyeleti port immár a távoli hálózat támadási felületének része. Sorolja fel, mi figyel, mielőtt az útvonalakról vitatkozik, mert egy kötött hibakeresési port többet nyom, mint bármely alagútszabályzat. Tartsa a gazdagépszolgáltatásokat a tervezett forrásaikra és céljaikra korlátozva.

Tekintsen minden távoli hálózatot kifejezett engedélyekkel rendelkező erőforrás-tartománynak, ahelyett hogy széles bizalmat adna azért, mert a forgalom titkosítva érkezett. A NIST nulla bizalmon alapuló architektúrája elválasztja az erőforrás-engedélyezést a hálózati helyhez fűződő hallgatólagos bizalomtól, és pontosan ez az a különbség, amelyet egy két alagútú laptop elmos.

Tegyen fel még egy kérdést, amíg itt van: ha egy helyi szolgáltatás vagy egy engedélyezett alkalmazás kompromittálódna, milyen erőforrások és hitelesítő adatok válnának elérhetővé abból a támaszpontból? Írja le a választ, mert ez a teljes tervezés valódi kockázati nyilatkozata.

Válassza ki a fenyegetésmodellhez illő munkahatárt

Az alkalmazásonkénti útválasztás programokat rendelhet a tervezett alagutakhoz, a külön munkaprofilok, felhasználók vagy támogatott virtuális munkaterületek pedig identitás- és adathatárokat adhatnak a platformtól függően. Igazítsa a határt a fenyegetésmodellhez, ne a bemutatóhoz: az útválasztás szétválasztása identitás szétválasztása nélkül még mindig egyetlen böngészőprofilban hagyja mindkét munkamenetet.

A hálózati névtér elkülöníti az útválasztást és a hálózati állapotot; nem különíti el a fájlrendszer minden útvonalát, a vágólapot vagy a hitelesítőadat-ügynököt. A virtuális gépnek vagy a felügyelt profilnak szintén szándékos megosztási és gazdagép-felügyeleti szabályzatra van szüksége. Jegyezze fel, mely mappák, hitelesítési segédeszközök és másolás-beillesztés útvonalak maradnak elérhetők, mert ezek a csatornák viszik ténylegesen az adatokat a két tartomány között.

A sorrendi munkához a szándékos váltás általában egyszerűbb, mint az egyidejű hozzáférés fenntartása. Fejezze be a függő műveletet, majd ellenőrizze a következő munkaterület identitását és útvonalát, ahelyett hogy háttéreszközöket hagyna egy kétértelmű kontextushoz kapcsolva.

Írja meg a jóváhagyást feladatként, ne szlogenként

A jóváhagyási rekordnak feladatként kell olvasódnia: a támogatási munkaterület elérheti az A hálózat szolgáltatáskonzolját és a B hálózat jegyportálját, engedélyezett A-ból B-be történő továbbítás nélkül, közös hitelesítőadat-ügynök nélkül és automatikus fájlszinkronizálás nélkül. A mondat minden tagja megfelel valaminek, amit be lehet állítani és tesztelni lehet.

Ezután ellenőrizze a negatív eseteket, ne csak a pozitívakat. Próbáljon elérni egy erőforrást, amelynek a határon kívül kell lennie, erősítse meg, hogy a gazdagépszolgáltatás nem válaszol a másik oldalról, és ellenőrizze, hogy a hitelesítőadat-segéd nem szolgálja-e ki csendben mindkét tartományt.

A rekordot az eszköznél tartsa, ne csak a jegyben, hogy a következő ember, aki örökli az elrendezést, tudja, melyik határ volt szándékos. A két alagúttal és írásos határ nélküli laptop megkülönböztethetetlen egy hibás beállítástól.