VPN қақпасын Windows XP-нің қасына қойыңыз, ішіне емес

Ғимараттың бір жерінде ешкім алмастыра алмайтын қолданбаны ешнәрсеге қосылуға болмайтын операциялық жүйеде іске қосатын машина тұр. Сол хосттың желілік адаптерінен сыртқа шығу туннельдің қайда тиесілі екенін көрудің ең жылдам жолы. Көптеген жобаларда ол хостқа мүлде тиесілі емес. Оны бір қадам сыртқа, күтілетін қақпаға жылжытыңыз, сонда ескі мәселе өзі басталған қолданбаға дейін кішіреяды.

VPN клиентінен емес, хост адаптерінен бастаңыз

Адаптер қасиеттерін ашып, хостқа шағын арнайы сегментте тұрақты мекенжай беріңіз, қақпа оның әдепкі маршруты болсын. Сонда хостқа туннель клиенті де, туннель тіркелгі деректері де, кеңірек корпоративтік желіге баратын маршрут кестесінің жазбалары да қажет емес. Егер қолданбаға бір қашықтағы ішкі желі қажет болса, дәл сол бір маршрутты қосыңыз.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Бұл команда бір тағайындалымды қақпаға бекітіп, қалғанын маршрутсыз қалдырады, және бұл қалаған пішін. Шығу кодына сенудің орнына нәтижені route print арқылы растаңыз. Содан кейін қолданбаның сервер атауын әлі шешетінін тексеріңіз, өйткені бұзылған шешкіші бар ескі хост дәл желілік ақау сияқты көрінеді, ал шешкішті жөндеу бес минуттық жұмыс, ал қате желілік өзгерістен кейін қолданбаны қайта құру ондай емес. Хост жете алмайтын әрбір тағайындалым ескі желілік стекті шабуылға итермелеуге болатын бір нәрсе азырақ.

Туннельді жаңарта алатын жабдыққа қойыңыз

Қақпаға екі интерфейс керек: біреуі хост сегментіне, екіншісі қолданба тұратын жерге, туннель екіншісінде аяқталады. Бұл құрылғы прошивка жаңартуларын қабылдай алады, криптографиялық конфигурациясын ауыстыра алады және ағындарды тіркей алады, ескі машинаға ешкім тимей. Оның жеткізушісі туннель іске асырылуына түзетулер де жібереді, оларды хост ешқашан алмайды. Екі машина мен мерзім форум жазбасынан статикалық құпия рецептін көшіруге себеп емес.

Әр қақпаға өз теңдестік идентификаторын беріңіз, бір клиент конфигурациясын бүкіл флотқа клондаудың орнына. Бірлік ауыстырылғанда, жаңасын желіге қосатын сол сәтте ескі идентификаторды кері қайтарыңыз, әйтпесе бір соңғы нүктеге аутентификацияланатын екі бақыланбайтын көшірме қалады. Кілттерді қақпаның басқару жазықтығы күтетін жерде сақтаңыз, конфигурацияның резервтік көшірмесін құпия ретінде ұстаңыз және бұл конфигурацияны кім жібере алатынын қарап шығыңыз, өйткені енді ол ескі хосттың қайда жете алатынын шешеді.

Желілерге емес, қызметтерге рұқсат беріңіз

Саясатты екі қосылым арасындағы протокол, порт және бағыт бойынша жазыңыз. Бір қолданба мекенжайына бір рұқсат етілген порт кәдімгі жауап, ал секіру хосты арқылы өтетін әкімшілік жол қалғанын жабады.

Ескі хостты қашықтан басқару қолданбамен бірдей ережемен жүрмеуі керек, және бас тартуды тексеру ережені жазу сияқты маңызды. Хосттан бас тартылады деп күткен тағайындалымға бір сұраныс жіберіп, бас тартудың жоқ маршруттан емес, саясаттан келетінін растаңыз. Дизайн жаңа кезде рұқсат еткен ағындарды тіркеңіз, сонда қолданбаның құжаттамасы айтқанды емес, шын мәнінде нені қолданатынын көресіз. Көпірлі оқулық қысқарақ көрінгендіктен екі ішкі желіні біріктіру — ескі сегменттің үнсіз секіргіш тақтайға айналу жолы.

Ескі тыңдаушыны қақпаны айналып өтетін қысқа жол ретінде тікелей интернетке шығармаңыз. Әкімшілік жолды қолданба жолынан бөлек ұстаңыз, бірінің бұзылуы екіншісін беріп қоймасын. Ешқашан орындалмайтын ереже — ешкім тексермеген ереже, сондықтан бас тартылған тағайындалым қабылдау сынағына кіреді.

Қалпына келтіру туннельсіз жұмыс істеуі керек

Алғашқы үзілістен бұрын қақпаны кім жаңартып, қалпына келтіретінін шешіңіз және сол адам онымен аяқталатын туннельсіз оған жете алатынына көз жеткізіңіз. Консоль қатынасы, жергілікті басқару порты немесе жолақтан тыс жол — бәрі жауап ретінде саналады. Тек өзі ұсынатын туннель арқылы конфигурацияланатын қақпа нашар прошивка жіберілуін шыдамдылықпен күтетін тұзақ.

Шынымен кездесетін ақау үшін нұсқаулық жазыңыз: туннель төмен, қақпа өлі, хост дискісі жоқ. Хосттың қалпына келтіру бейнесін ол үшін әлі бар кез келген қолдау келісімінің аясында ұстаңыз және қалпына келтіру сол бейнедегі бағдарламалық күй мен тіркелгі деректерін де қайтаратынын есте сақтаңыз. Алдымен оқшауланған сегментке қалпына келтіріңіз, қолданбаның іске қосылатынын растаңыз, содан кейін ғана бірдеңені қайта қосыңыз; қақпа өзгерсе, сол отырыста нұсқаулық пен тізімді жаңартыңыз.

Сертификаттар, сағаттар және қолтаңба ескертулері

Орнатушының сертификатының мерзімінің бітуі бүгін қолтаңба тексерісінің не дейтінін өздігінен болжай алмайды. Microsoft-тың Authenticode уақыт белгілері туралы нұсқаулығы уақыт белгісі қолтаңба сертификатының мерзімі біткеннен кейін де қолтаңбаны тексерілетін күйде ұстай алатынын және тексеру әлі де қолтаңбаға, сенім тізбегіне және жұмысты орындайтын тексерушіге тәуелді екенін түсіндіреді. Сондықтан әртүрлі сенім қоймалары бар екі машина бір файл туралы келіспеуі мүмкін. Мерзімі біткен қол қоюшы бинарлық файлдың зиянды екеніне дәлел емес, ал жарамды қолтаңба бағдарламалық жасақтаманың қолдауда екеніне дәлел емес.

Ескі орнатушыны іске қосу үшін жүйелік сағатты артқа жылжытпаңыз және қолтаңба тексерістерін өшірмеңіз. Қолданбаны әлі қолдайтын адамнан уәкілетті артефакт алыңыз және платформаның нені қабылдайтынын олар айтсын. Белгілі бір build XP үшін соңғы болды деп мәлімдейтін жазбаларды орнату мақсаты емес, тарих ретінде қарастырыңыз, өйткені нақты талап қолданбаға байланысты; егер сақтау жұмысы шынымен қажет болса, оны өндірістік қатынастан алыс оқшауланған сегментте ұстап, не үшін бар екенін құжаттаңыз.