Letakkan gateway VPN di samping Windows XP, bukan di dalamnya

Di suatu tempat di gedung itu ada mesin yang menjalankan aplikasi yang tidak dapat diganti siapa pun, pada sistem operasi yang tidak boleh dihubungkan ke apa pun. Berjalan keluar dari adaptor jaringan host itu adalah cara tercepat untuk melihat di mana terowongan seharusnya berada. Pada sebagian besar rancangan, ia sama sekali tidak berada di host. Pindahkan satu langkah ke gateway terawat, dan masalah lama menyusut kembali ke aplikasi tempat semuanya dimulai.

Mulailah dari adaptor host, bukan dari klien VPN

Buka properti adaptor dan beri host alamat tetap pada segmen kecil khusus, dengan gateway sebagai rute bawaannya. Host lalu tidak memerlukan klien terowongan, kredensial terowongan, atau entri tabel rute ke jaringan korporat yang lebih luas. Jika aplikasi membutuhkan satu subnet jarak jauh, tambahkan tepat satu rute itu.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Perintah itu mematok satu tujuan ke gateway dan membiarkan sisanya tanpa rute, dan itulah bentuk yang Anda inginkan. Konfirmasi hasilnya dengan route print alih-alih memercayai kode keluar. Lalu periksa apakah aplikasi masih menyelesaikan nama servernya, karena host lama dengan resolver rusak terlihat persis seperti kegagalan jaringan, dan memperbaiki resolver adalah pekerjaan lima menit sedangkan membangun ulang aplikasi setelah perubahan jaringan yang salah bukan. Setiap tujuan yang tidak dapat dijangkau host adalah satu hal lebih sedikit yang dapat dibujuk untuk diserang oleh tumpukan jaringan lama.

Letakkan terowongan pada perangkat keras yang dapat Anda perbarui

Gateway menginginkan dua antarmuka: satu menghadap segmen host dan satu menghadap tempat aplikasi berada, dengan terowongan berakhir di antarmuka kedua. Perangkat itu dapat menerima pembaruan firmware, mengganti konfigurasi kriptografinya, dan mencatat aliran tanpa ada yang menyentuh mesin lama. Pemasoknya juga mengirim perbaikan untuk implementasi terowongan, yang tidak akan pernah diterima host. Dua mesin dan tenggat waktu bukan alasan untuk menyalin resep rahasia statis dari kiriman forum.

Beri setiap gateway identitas mitra sendiri alih-alih mengkloning satu konfigurasi klien ke seluruh armada. Saat unit diganti, cabut identitas lama pada saat yang sama Anda mengaktifkan yang baru, atau Anda berakhir dengan dua salinan tak terkendali yang mengautentikasi ke titik akhir yang sama. Simpan kunci di tempat bidang manajemen gateway mengharapkannya, perlakukan cadangan konfigurasi sebagai rahasia, dan tinjau siapa yang dapat mendorong konfigurasi itu, karena kini ia menentukan apa yang dapat dijangkau host lama.

Izinkan layanan, bukan jaringan

Tulis kebijakan dalam istilah protokol, port, dan arah antara dua sambungan. Satu port yang diizinkan ke satu alamat aplikasi adalah jawaban biasa, dan jalur administratif melalui host lompat menutupi sisanya.

Administrasi jarak jauh host lama tidak boleh menumpang aturan yang sama dengan aplikasi, dan menguji penolakan sama pentingnya dengan menulis aturan. Kirim satu permintaan dari host ke tujuan yang Anda harapkan ditolak dan pastikan penolakan itu berasal dari kebijakan, bukan dari rute yang hilang. Catat aliran yang Anda izinkan selama rancangan masih baru, agar Anda melihat apa yang benar-benar dipakai aplikasi, bukan apa yang diklaim dokumentasinya. Menggabungkan dua subnet karena tutorial berjembatan tampak lebih singkat adalah cara segmen lama diam-diam menjadi pijakan.

Jangan paparkan pendengar lama langsung ke internet sebagai jalan pintas di sekitar gateway. Pisahkan jalur administratif dari jalur aplikasi agar kompromi salah satunya tidak menyerahkan yang lain. Aturan yang tidak pernah diuji adalah aturan yang belum diverifikasi siapa pun, karena itu tujuan yang ditolak termasuk dalam uji penerimaan.

Pemulihan harus bekerja tanpa terowongan

Putuskan siapa yang memperbarui dan memulihkan gateway sebelum pemadaman pertama, dan pastikan orang itu dapat mencapainya tanpa terowongan yang diakhirinya. Akses konsol, port manajemen lokal, atau jalur luar pita semuanya dihitung sebagai jawaban. Gateway yang hanya dapat dikonfigurasi melalui terowongan yang disediakannya adalah jebakan yang menunggu dengan sabar dorongan firmware yang buruk.

Tulis runbook untuk kegagalan yang benar-benar akan Anda temui: terowongan mati, gateway mati, disk host hilang. Simpan citra pemulihan host di bawah pengaturan dukungan apa pun yang masih ada, dan ingat bahwa pemulihan juga memulihkan keadaan perangkat lunak dan kredensial di dalam citra itu. Pulihkan dulu ke segmen terisolasi, pastikan aplikasi mulai, dan baru setelah itu sambungkan kembali apa pun; saat gateway berubah, perbarui runbook dan inventaris pada kesempatan yang sama.

Sertifikat, jam, dan peringatan tanda tangan

Kedaluwarsa sertifikat pemasang tidak dengan sendirinya meramalkan apa yang akan dikatakan pemeriksaan tanda tangan hari ini. Panduan Microsoft tentang stempel waktu Authenticode menjelaskan bahwa stempel waktu dapat menjaga tanda tangan tetap dapat diverifikasi setelah sertifikat penandatangan kedaluwarsa, dan validasi tetap bergantung pada tanda tangan, rantai kepercayaan, dan pemverifikasi yang melakukan pekerjaan. Dua mesin dengan penyimpanan kepercayaan berbeda karena itu dapat berbeda pendapat tentang file yang sama. Penandatangan yang kedaluwarsa bukan bukti bahwa biner berbahaya, dan tanda tangan yang sah bukan bukti bahwa perangkat lunak dirawat.

Jangan mundurkan jam sistem atau matikan pemeriksaan tanda tangan agar pemasang lama berjalan. Dapatkan artefak resmi dari siapa pun yang masih mendukung aplikasi dan biarkan mereka mengatakan apa yang diterima platform. Perlakukan kiriman yang mengklaim build tertentu adalah yang terakhir untuk XP sebagai sejarah, bukan target pemasangan, karena persyaratan sebenarnya bergantung pada aplikasi; jika pekerjaan pelestarian benar-benar diperlukan, simpan di segmen terisolasi jauh dari akses produksi dan dokumentasikan mengapa ada.