VPN-კარიბჭე Windows XP-ის გვერდით მოათავსეთ, არა მის შიგნით

შენობაში სადღაც დგას მანქანა, რომელიც უშვებს აპლიკაციას, რომელსაც ვერავინ შეცვლის, ოპერაციულ სისტემაზე, რომელიც არაფერთან არ უნდა იყოს დაკავშირებული. ამ ჰოსტის ქსელური ადაპტერიდან გარეთ გასვლა ყველაზე სწრაფი გზაა იმის სანახავად, სად უნდა იყოს გვირაბი. უმეტეს დიზაინებში ის ჰოსტზე საერთოდ არ ეკუთვნის. გადაიტანეთ იგი ერთი ნაბიჯით გვერდზე, მოვლილ კარიბჭეზე, და ძველი პრობლემა დაუბრუნდება იმ აპლიკაციას, რომლითაც დაიწყო.

დაიწყეთ ჰოსტის ადაპტერიდან, არა VPN კლიენტიდან

გახსენით ადაპტერის თვისებები და მიეცით ჰოსტს ფიქსირებული მისამართი პატარა გამოყოფილ სეგმენტში, კარიბჭე კი მის ნაგულისხმევ მარშრუტად. მაშინ ჰოსტს არ სჭირდება გვირაბის კლიენტი, გვირაბის სერტიფიკატები ან მარშრუტების ცხრილის ჩანაწერები უფრო ფართო კორპორატიულ ქსელში. თუ აპლიკაციას ერთი დისტანციური ქვექსელი სჭირდება, დაამატეთ ზუსტად ეს ერთი მარშრუტი.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

ეს ბრძანება ერთ დანიშნულებას ამაგრებს კარიბჭეზე და დანარჩენ ყველაფერს მარშრუტის გარეშე ტოვებს, და ეს არის სასურველი ფორმა. დაადასტურეთ შედეგი route print-ით, გასვლის კოდის ნდობის ნაცვლად. შემდეგ შეამოწმეთ, რომ აპლიკაცია კვლავ წყვეტს თავისი სერვერის სახელს, რადგან გატეხილი გადამწყვეტის მქონე ძველი ჰოსტი ზუსტად ქსელური ხარვეზის მსგავსია, და გადამწყვეტის გასწორება ხუთწუთიანი საქმეა, მაშინ როცა არასწორი ქსელური ცვლილების შემდეგ აპლიკაციის ხელახლა აშენება არ არის. ყოველი დანიშნულება, რომელსაც ჰოსტი ვერ აღწევს, ერთი ნაკლები რამაა, რისკენაც ძველი ქსელური დასტის შეტევაზე დაყოლიება შეიძლება.

გვირაბი იმ აპარატურაზე მოათავსეთ, რომელსაც განაახლებთ

კარიბჭეს ორი ინტერფეისი სჭირდება: ერთი ჰოსტის სეგმენტისკენ და ერთი იქ, სადაც აპლიკაცია ცხოვრობს, გვირაბი კი მეორეზე მთავრდება. ამ მოწყობილობას შეუძლია firmware-ის განახლებების მიღება, კრიპტოგრაფიული კონფიგურაციის შეცვლა და ნაკადების ჟურნალირება ისე, რომ ძველ მანქანას არავინ შეეხოს. მისი მომწოდებელი ასევე აწვდის გამოსწორებებს გვირაბის იმპლემენტაციისთვის, რომლებსაც ჰოსტი ვერასდროს მიიღებს. ორი მანქანა და ვადა არ არის მიზეზი ფორუმის პოსტიდან სტატიკური საიდუმლოს რეცეპტის კოპირებისთვის.

მიეცით თითოეულ კარიბჭეს საკუთარი თანამოქალაქის იდენტობა, ერთი კლიენტის კონფიგურაციის მთელ ფლოტზე კლონირების ნაცვლად. როცა ერთეული იცვლება, გააუქმეთ ძველი იდენტობა იმავე მომენტში, როცა ახალს ჩართავთ, თორემ დარჩებით ორი უკონტროლო ასლით, რომლებიც ერთსა და იმავე ბოლო წერტილში ავთენტიფიცირდებიან. შეინახეთ გასაღებები იქ, სადაც კარიბჭის მართვის სიბრტყე მათ ელოდება, კონფიგურაციის სარეზერვო ასლს საიდუმლოდ მოექეცით და გადახედეთ, ვის შეუძლია ამ კონფიგურაციის გაგზავნა, რადგან ახლა ეს წყვეტს, სადამდე შეიძლება მოხვდეს ძველი ჰოსტი.

ნება დართეთ სერვისებს, არა ქსელებს

დაწერეთ პოლიტიკა ორ კავშირს შორის პროტოკოლის, პორტისა და მიმართულების მიხედვით. ერთი ნებადართული პორტი ერთი აპლიკაციის მისამართზე ჩვეულებრივი პასუხია, ხოლო ნახტომის ჰოსტით გამავალი ადმინისტრაციული გზა დანარჩენს ფარავს.

ძველი ჰოსტის დისტანციური მართვა არ უნდა მიდიოდეს იმავე წესით, როგორც აპლიკაცია, და უარის შემოწმება ისეთივე მნიშვნელოვანია, როგორც წესის დაწერა. გაგზავნეთ ერთი მოთხოვნა ჰოსტიდან იმ დანიშნულებაზე, რომლის უარყოფასაც ელოდებით, და დაადასტურეთ, რომ უარი პოლიტიკიდან მოდის, არა დაკარგული მარშრუტიდან. ჩაწერეთ ნებადართული ნაკადები, სანამ დიზაინი ახალია, რათა ნახოთ, რას იყენებს აპლიკაცია რეალურად და არა რას ამბობს მისი დოკუმენტაცია. ორი ქვექსელის გაერთიანება იმიტომ, რომ ხიდიანი გაკვეთილი უფრო მოკლე ჩანდა, ის გზაა, რომლითაც ძველი სეგმენტი ჩუმად ხდება სადგამი.

ნუ გამოაჩენთ ძველ მსმენელს პირდაპირ ინტერნეტში კარიბჭის გვერდის ავლის მოკლე გზად. ადმინისტრაციული გზა აპლიკაციის გზისგან ცალკე შეინახეთ, რათა ერთის კომპრომიტაციამ მეორე არ გადასცეს. წესი, რომელიც არასდროს სრულდება, არის წესი, რომელიც არავის გადაუმოწმებია, ამიტომ უარყოფილი დანიშნულება მიღების გამოცდაში შედის.

აღდგენა გვირაბის გარეშე უნდა მუშაობდეს

პირველ გათიშვამდე გადაწყვიტეთ, ვინ განაახლებს და აღადგენს კარიბჭეს, და დარწმუნდით, რომ ამ ადამიანს შეუძლია მიაღწიოს მას იმ გვირაბის გარეშე, რომელსაც ის ამთავრებს. კონსოლის წვდომა, ლოკალური მართვის პორტი ან ზოლის გარეთ გზა ყველა პასუხად ითვლება. კარიბჭე, რომლის კონფიგურაცია მხოლოდ მის მიერ მოწოდებული გვირაბით შეიძლება, ხაფანგია, რომელიც მოთმინებით ელოდება ცუდ firmware-ის გაგზავნას.

დაწერეთ სახელმძღვანელო იმ ხარვეზისთვის, რომელსაც რეალურად შეხვდებით: გვირაბი ქვემოთ, კარიბჭე მკვდარი, ჰოსტის დისკი გაქრა. შეინახეთ ჰოსტის აღდგენის გამოსახულება ნებისმიერი ჯერ კიდევ არსებული მხარდაჭერის შეთანხმების ქვეშ და გახსოვდეთ, რომ აღდგენა აბრუნებს აგრეთვე პროგრამული მდგომარეობას და სერტიფიკატებს ამ გამოსახულებაში. ჯერ იზოლირებულ სეგმენტზე აღადგინეთ, დაადასტურეთ, რომ აპლიკაცია იწყება, და მხოლოდ ამის შემდეგ ხელახლა შეაერთეთ რამე; როცა კარიბჭე იცვლება, იმავე სხდომაზე განაახლეთ სახელმძღვანელო და ინვენტარი.

სერტიფიკატები, საათები და ხელმოწერის გაფრთხილებები

ინსტალატორის სერტიფიკატის ვადის გასვლა თავისთავად არ წინასწარმეტყველებს, რას იტყვის დღეს ხელმოწერის შემოწმება. Microsoft-ის Authenticode დროის ნიშნულების სახელმძღვანელო განმარტავს, რომ დროის ნიშნული ხელმოწერას გადამოწმებადს ტოვებს ხელმოწერის სერტიფიკატის ვადის გასვლის შემდეგაც, და ვალიდაცია კვლავ დამოკიდებულია ხელმოწერაზე, ნდობის ჯაჭვსა და სამუშაოს შემსრულებელ გადამმოწმებელზე. ამიტომ განსხვავებული ნდობის საცავის მქონე ორი მანქანა შეიძლება არ დაეთანხმოს ერთსა და იმავე ფაილს. ვადაგასული ხელმომწერი არ არის ბინარული ფაილის მავნე ყოფნის მტკიცებულება, და ვალიდური ხელმოწერა არ არის პროგრამული უზრუნველყოფის მოვლის მტკიცებულება.

ნუ უკან გადაწევთ სისტემის საათს და ნუ გამორთავთ ხელმოწერის შემოწმებებს, რომ ძველი ინსტალატორი იმუშაოს. მიიღეთ უფლებამოსილი არტეფაქტი მისგან, ვინც ჯერ კიდევ უჭერს მხარს აპლიკაციას, და ნება მიეცით მათ თქვან, რას იღებს პლატფორმა. პოსტებს, რომლებიც ამტკიცებენ, რომ გარკვეული build ბოლო იყო XP-სთვის, მოექეცით როგორც ისტორიას და არა ინსტალაციის მიზანს, რადგან რეალური მოთხოვნა აპლიკაციაზეა დამოკიდებული; თუ შენახვის სამუშაო ნამდვილად საჭიროა, შეინახეთ იგი იზოლირებულ სეგმენტზე, წარმოების წვდომისგან მოშორებით, და დააფიქსირეთ, რატომ არსებობს.