ორი VPN ერთდროულად? ჯერ საბოლოო წერტილის საზღვარი განსაზღვრეთ
ორი აქტიური გვირაბი ერთ მოწყობილობას ორ რესურსულ დომენთან აკავშირებს. გადაწყვიტეთ ტრანზიტი, ჰოსტის გამოვლენა და სამუშაო სივრცის გაზიარება, სანამ ვინმე დაამტკიცებს ამ განლაგებას.
ერთდროულად დაკავშირებული ორი VPN კლიენტი ერთ საბოლოო წერტილს ორ რესურსულ დომენში ათავსებს და ეს უფლებამოსილების საკითხია მანამ, სანამ მარშრუტიზაციის საკითხი იქნება. ის, რომ გვირაბები დაშიფრულია, არაფერს ამბობს იმაზე, უნდა შეძლოს თუ არა ამ ლეპტოპის აპლიკაციებმა ორივე ქსელში მისვლა, ან უნდა შეძლოს თუ არა ერთი ქსელის პირმა მისი მეშვეობით მეორეში მისვლა. გაიარეთ ქვემოთ მოცემული შემოწმებები თანმიმდევრობით და გაჩერდით პირველზე, რომელზეც ვერავინ გასცემს პასუხს. ამ პასუხების გარეშე გადაფარვის დამტკიცება ის გზაა, რომლითაც მოხერხებული განლაგება ჩუმად ხიდად იქცევა.
დაიწყეთ რეალური სამუშაოდან: რომელი რესურსები სჭირდება ადამიანს თითოეულ ქსელში და უშვებს თუ არა ორივე ქსელის მფლობელი ერთდროულ წვდომას ერთი მოწყობილობიდან?
შეამოწმეთ, ვინ უშვებს გადაფარვას
ორ ქსელს, რომელთაგან თითოეული ერთსა და იმავე მომხმარებელს ამოწმებს, მაინც ცალკეული მფლობელები ჰყავს და ამ მფლობელებს შეიძლება ჰქონდეთ შეუთავსებელი ვარაუდები სხვაგანაც დაკავშირებულ მოწყობილობებზე. ჰკითხეთ ორივეს, სანამ რამეს დააპროექტებთ. იზოლირებული ლეპტოპებისთვის დაწერილ დისტანციური წვდომის პოლიტიკას ხშირად საერთოდ არ აქვს პასუხი მანქანაზე, რომელიც ერთდროულად პარტნიორი ქსელის შიგნითაა.
მიიღეთ პასუხი წერილობით და შეინახეთ ცვლილების ჩანაწერთან ერთად. თუ ერთი მხარე ამბობს არა-ს, ამ სიის დარჩენილი ნაწილი თეორიულია და თქვენ დაზოგეთ დიზაინის გადახედვა.
არ მოეპყარით ორ ინტერფეისს როგორც მარშრუტიზატორს
ორი აქტიური ინტერფეისი ავტომატურად არ აქცევს მოწყობილობას მარშრუტიზატორად ან Ethernet ხიდად. შეამოწმეთ მხარდაჭერილი გადაგზავნის, ხიდის, NAT-ისა და პროქსის კონფიგურაცია, სანამ რამეს ტრანზიტულ გზას უწოდებთ, და შეინარჩუნეთ მოწყობილობის ნებისმიერი უკვე არსებული დაუკავშირებელი ნებადართული მარშრუტიზაციის ვალდებულება. ლეპტოპი, რომელზეც ლოკალური კონტეინერის ქსელი ან ვირტუალიზაციის ჰოსტი მუშაობს, აქ ნეიტრალური დამკვირვებელი არ არის.
თუ მოთხოვნა ნამდვილად A-დან B-მდე ტრანზიტია, მისი ადგილია ქსელურ მოწყობილობაზე მფლობელით, შესამოწმებელი წესების ნაკრებით და ცვლილების პროცესით. სამუშაო სადგურის მეშვეობით მისი შემთხვევით გაკეთება ის შედეგია, რომლის თავიდან ასაცილებლადაც ეს შემოწმება არსებობს.
საბოლოო წერტილსაც მოეპყარით როგორც წვდომის წერტილს
მოწყობილობა მხოლოდ ორივე ქსელის კლიენტი არ არის; ის ჰოსტია, რომელიც სერვისებს სთავაზობს. ამ მანქანაზე ნებადართული სერვისი შეიძლება VPN პირისთვის ხელმისაწვდომი იყოს ჰოსტის ფაირვოლისა და კლიენტის პოლიტიკის მიხედვით, ამიტომ ლეპტოპზე ღია მართვის პორტი ახლა დისტანციური ქსელის თავდასხმის ზედაპირის ნაწილია. ჩამოთვალეთ, რა უსმენს, სანამ მარშრუტებზე კამათს დაიწყებთ, რადგან ერთი მიბმული გამართვის პორტი ნებისმიერ გვირაბის პოლიტიკაზე მძიმეა. შეზღუდეთ ჰოსტის სერვისები მათ განკუთვნილ წყაროებსა და მიზნებზე.
მოეპყარით თითოეულ დისტანციურ ქსელს როგორც რესურსულ დომენს ცხადი ნებართვებით, ნაცვლად იმისა, რომ ფართო ნდობა მისცეთ იმიტომ, რომ ტრაფიკი დაშიფრული მოვიდა. NIST-ის ნულოვანი ნდობის არქიტექტურა გამოყოფს რესურსების უფლებამოსილებას ქსელური მდებარეობისადმი იმპლიციტური ნდობისგან და ეს ზუსტად ის განსხვავებაა, რომელსაც ორი გვირაბის მქონე ლეპტოპი ბუნდოვანს ხდის.
დასვით კიდევ ერთი კითხვა, სანამ აქ ხართ: თუ ლოკალური სერვისი ან ნებადართული აპლიკაცია დაირღვეოდა, რომელი რესურსები და სერთიფიკატები გახდებოდა ხელმისაწვდომი ამ საყრდენი წერტილიდან? ჩაწერეთ პასუხი, რადგან ეს არის მთელი დიზაინის ნამდვილი რისკის განაცხადი.
აირჩიეთ სამუშაო საზღვარი, რომელიც ემთხვევა საფრთხის მოდელს
აპლიკაციის მიხედვით მარშრუტიზაციას შეუძლია პროგრამები განკუთვნილ გვირაბებს მიაკუთვნოს, ხოლო ცალკეულ სამუშაო პროფილებს, მომხმარებლებს ან მხარდაჭერილ ვირტუალურ სამუშაო სივრცეებს შეუძლიათ დაამატონ იდენტობისა და მონაცემების საზღვრები პლატფორმის მიხედვით. შეუსაბამეთ საზღვარი საფრთხის მოდელს და არა დემონსტრაციას: მარშრუტიზაციის გაყოფა იდენტობის გაყოფის გარეშე მაინც ტოვებს ერთ ბრაუზერის პროფილს ორივე სესიით.
ქსელის სახელთა სივრცე აიზოლირებს მარშრუტიზაციასა და ქსელის მდგომარეობას; ის არ აიზოლირებს ფაილური სისტემის ყველა გზას, ბუფერს ან სერთიფიკატების აგენტს. ვირტუალურ მანქანას ან მართულ პროფილსაც სჭირდება გააზრებული გაზიარებისა და ჰოსტის ადმინისტრირების პოლიტიკა. ჩაწერეთ, რომელი საქაღალდეები, ავთენტიფიკაციის დამხმარეები და კოპირება-ჩასმის გზები რჩება ხელმისაწვდომი, რადგან სწორედ ეს არხები ატარებს მონაცემებს ორ დომენს შორის.
თანმიმდევრული მუშაობისთვის განზრახ გადართვა ჩვეულებრივ უფრო მარტივია, ვიდრე ერთდროული წვდომის შენარჩუნება. დაასრულეთ დამოკიდებული ოპერაცია და შემდეგ გადაამოწმეთ შემდეგი სამუშაო სივრცის იდენტობა და მარშრუტი, ნაცვლად იმისა, რომ ფონური ხელსაწყოები ბუნდოვან კონტექსტზე მიბმული დატოვოთ.
დაწერეთ დამტკიცება როგორც დავალება და არა როგორც ლოზუნგი
დამტკიცების ჩანაწერი დავალებასავით უნდა იკითხებოდეს: მხარდაჭერის სამუშაო სივრცეს შეუძლია მიაღწიოს A ქსელის სერვისების კონსოლსა და B ქსელის ბილეთების პორტალს, A-დან B-მდე ნებადართული გადაგზავნის გარეშე, საერთო სერთიფიკატების აგენტის გარეშე და ფაილების ავტომატური სინქრონიზაციის გარეშე. ამ წინადადების ყველა ნაწილი შეესაბამება რაღაცას, რისი კონფიგურირებაც და გამოცდაც შეგიძლიათ.
შემდეგ გადაამოწმეთ უარყოფითი შემთხვევები და არა მხოლოდ დადებითი. სცადეთ საზღვრის გარეთ უნდა დარჩენილ რესურსზე მისვლა, დაადასტურეთ, რომ ჰოსტის სერვისი მეორე მხრიდან არ პასუხობს, და შეამოწმეთ, რომ სერთიფიკატების დამხმარე ჩუმად არ ემსახურება ორივე დომენს.
შეინახეთ ჩანაწერი მოწყობილობასთან და არა მხოლოდ ბილეთში, რათა ამ განლაგების მემკვიდრემ იცოდეს, რომელი საზღვარი იყო განზრახული. ლეპტოპი ორი გვირაბით და წერილობითი საზღვრის გარეშე არ გაირჩევა არასწორი კონფიგურაციისგან.