A VPN-átjárót Windows XP mellé tegye, ne bele

Valahol az épületben áll egy gép, amely olyan alkalmazást futtat, amelyet senki sem tud lecserélni, olyan operációs rendszeren, amelyet semmihez sem szabad csatlakoztatni. A gazdagép hálózati adapterétől kifelé indulni a leggyorsabb módja annak, hogy lássuk, hová tartozik az alagút. A legtöbb tervezésben egyáltalán nem a gazdagépre tartozik. Vigye egy ugrással odébb egy karbantartott átjáróra, és a régi probléma visszazsugorodik ahhoz az alkalmazáshoz, amellyel elkezdődött.

A gazdagép adapterénél kezdje, ne egy VPN-kliensnél

Nyissa meg az adapter tulajdonságait, és adjon a gazdagépnek fix címet egy kis dedikált szegmensen, az átjáróval mint alapértelmezett útvonalával. Ekkor a gazdagépnek nem kell alagút-kliens, alagút-hitelesítő adat vagy a szélesebb vállalati hálózatba mutató útválasztási táblabejegyzés. Ha az alkalmazásnak egyetlen távoli alhálózatra van szüksége, pontosan azt az egy útvonalat adja hozzá.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ez a parancs egyetlen célpontot rögzít az átjáróhoz, és minden mást útvonal nélkül hagy, és ez a kívánt forma. Erősítse meg az eredményt a route print paranccsal, ahelyett hogy a kilépési kódra bízná magát. Ezután ellenőrizze, hogy az alkalmazás még mindig feloldja-e a kiszolgálónevét, mert egy törött feloldóval rendelkező régi gazdagép pontosan hálózati hibának látszik, a feloldó javítása pedig ötperces munka, míg egy alkalmazás újraépítése egy hibás hálózati változtatás után nem az. Minden célpont, amelyet a gazdagép nem ér el, egy dologgal kevesebb, amire egy régi hálózati verem rávehető, hogy megtámadja.

Tegye az alagutat olyan hardverre, amelyet frissíthet

Az átjáró két interfészt akar: egyet a gazdagép szegmense felé és egyet oda, ahol az alkalmazás él, az alagút a másodikon végződik. Az az eszköz kaphat firmware-frissítéseket, kicserélheti a kriptográfiai konfigurációját és naplózhatja a folyamokat anélkül, hogy bárki hozzányúlna a régi géphez. A gyártója az alagút megvalósításához is szállít javításokat, amelyeket a gazdagép soha nem kap meg. Két gép és egy határidő nem ok arra, hogy statikus titkos receptet másoljon egy fórumbejegyzésből.

Adjon minden átjárónak saját peer-identitást, ahelyett hogy egy ügyfélkonfigurációt klónozna egy flottára. Amikor egy egységet cserélnek, ugyanabban a pillanatban vonja vissza a régi identitást, amikor az újat online állítja, különben két ellenőrizetlen példány marad, amelyek ugyanahhoz a végponthoz hitelesítik magukat. A kulcsokat ott tárolja, ahol az átjáró felügyeleti síkja várja őket, kezelje a konfiguráció biztonsági mentését titokként, és vizsgálja felül, ki tudja küldeni azt a konfigurációt, mert ez dönti el, hogy a régi gazdagép mit érhet el.

Szolgáltatásokat engedjen, ne hálózatokat

Írja meg a szabályzatot protokoll, port és irány szerint a két csatlakozás között. Egyetlen engedélyezett port egyetlen alkalmazáscímhez a szokásos válasz, és egy ugrógazdagépen át vezető adminisztratív útvonal lefedi a többit.

A régi gazdagép távoli adminisztrációja nem ugyanazon szabály szerint haladhat, mint az alkalmazás, és az elutasítás tesztelése ugyanolyan fontos, mint a szabály megírása. Küldjön egy kérést a gazdagépről egy célpontra, amelyet elutasítania kell, és erősítse meg, hogy az elutasítás a szabályzatból, nem pedig hiányzó útvonalból származik. Naplózza az engedélyezett folyamokat, amíg a terv új, hogy lássa, mit használ valójában az alkalmazás, és ne azt, amit a dokumentációja állít. Két alhálózat összevonása, mert egy áthidalt útmutató rövidebbnek tűnt, az az út, ahogy egy régi szegmens csendben ugródeszkává válik.

Ne tegye ki a régi figyelőt közvetlenül az internetre az átjáró megkerülésének rövidítéseként. Tartsa külön az adminisztratív útvonalat az alkalmazás útvonalától, hogy az egyik kompromittálása ne adja át a másikat. Az a szabály, amelyet soha nem gyakorolnak, olyan szabály, amelyet senki nem ellenőrzött, és ezért az elutasított célpont az átvételi futás része.

A helyreállításnak az alagút nélkül kell működnie

Az első kiesés előtt döntse el, ki frissíti és állítja helyre az átjárót, és gondoskodjon arról, hogy az a személy elérje azt az alagút nélkül, amelyet az lezár. A konzolhozzáférés, egy helyi felügyeleti port vagy egy sávon kívüli útvonal mind válasznak számít. Az az átjáró, amely csak az általa biztosított alagúton keresztül konfigurálható, csapda, amely türelmesen vár egy rossz firmware-küldésre.

Írja meg a forgatókönyvet arra a hibára, amellyel valóban találkozni fog: alagút le, átjáró halott, gazdagép lemeze eltűnt. Tartsa a gazdagép helyreállítási rendszerképét bármilyen még létező támogatási megállapodás keretében, és ne feledje, hogy a helyreállítás a rendszerképben lévő szoftverállapotot és hitelesítő adatokat is visszaállítja. Először az izolált szegmensre állítson helyre, erősítse meg, hogy az alkalmazás elindul, és csak ezután csatlakoztasson újra bármit; amikor az átjáró megváltozik, ugyanabban az ülésben frissítse a forgatókönyvet és a leltárt.

Tanúsítványok, órák és aláírási figyelmeztetések

Egy telepítő tanúsítványának lejárata önmagában nem jósolja meg, mit fog mondani ma egy aláírás-ellenőrzés. A Microsoft Authenticode-időbélyegekről szóló útmutatása elmagyarázza, hogy egy időbélyeg az aláíró tanúsítvány lejárta után is ellenőrizhetővé teheti az aláírást, és az érvényesítés továbbra is az aláírástól, a bizalmi lánctól és a munkát végző ellenőrtől függ. Ezért két különböző bizalmi tárolóval rendelkező gép ugyanarról a fájlról eltérően vélekedhet. Egy lejárt aláíró nem bizonyítja, hogy a bináris rosszindulatú, és egy érvényes aláírás nem bizonyítja, hogy a szoftvert karbantartják.

Ne állítsa vissza a rendszerórát, és ne kapcsolja ki az aláírás-ellenőrzéseket, hogy egy régi telepítő elinduljon. Szerezzen engedélyezett összetevőt attól, aki még támogatja az alkalmazást, és hagyja, hogy megmondják, mit fogad el a platform. Azt állító bejegyzéseket, hogy egy adott build volt az utolsó XP-hez, történelemként kezelje, ne telepítési célként, mert a tényleges követelmény az alkalmazástól függ; ha a megőrzési munka valóban szükséges, tartsa izolált szegmensen, távol a termelési hozzáféréstől, és dokumentálja, miért létezik.