Setzt de VPN-Gateway nieft Windows XP, net dobannen

Iergendwou am Gebai steet eng Maschinn, déi eng Applikatioun lafe léisst, déi kee ersetze kann, op engem Betribssystem, deen u näischt ugeschloss soll ginn. Vum Netzwierkadapter vun deem Host no bausse goen ass de séierste Wee fir ze gesinn, wou den Tunnel gehéiert. An de meeschte Konzepter gehéiert en iwwerhaapt net op den Host. Verreegelt en ee Sprong ewech op e gepflegte Gateway, an d'ale Problem schrumpft zréck op d'Applikatioun, mat där et ugefaang huet.

Fänkt um Hostadapter un, net bei engem VPN-Client

Maacht d'Adaptereigenschaften op a gitt dem Host eng fest Adress op engem klengen eegene Segment, mam Gateway als seng Standardroute. Du brauch den Host keen Tunnelclient, keng Tunnelniewebeien a keng Routingstabell-Anträg an d'breet Entreprise-Netzwierk. Wann d'Applikatioun eng eenzeg Remote-Subnetz brauch, füügt genee déi eng Route derbäi.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Dee Kommando pinnt eng eenzeg Destinatioun um Gateway fest an léisst alles anescht routinglos, an dat ass d'Form, déi Dir wëllt. Bestätegt d'Resultat mam route print amplaz dem Exitcode ze vertrauen. Da kontrolléiert, ob d'Applikatioun nach hire Servernumm opléist, well en ale Host mat engem kaputten Resolver genee wéi en Netzwierkausfall ausgesäit, an de Resolver ze reparéieren ass eng Saach vu fënnef Minutten, während eng Applikatioun no enger falscher Netzwierkännerung nei opzebauen dat net ass. All Destinatioun, déi den Host net erreecht, ass eng Saach manner, op déi en ale Netzwierkstack iwwerriet ka ginn, se unzegräifen.

Setzt den Tunnel op Hardware, déi Dir aktualiséiere kënnt

De Gateway wëllt zwou Schnëttstellen: eng vis-à-vis vum Hostsegment an eng vis-à-vis vum Uert, wou d'Applikatioun lieft, mam Tunnel, deen op der zweeter ophält. Dat Apparat ka Firmware-Aktualiséierungen unhuelen, seng kryptographesch Konfiguratioun austauschen an Flëss loggen, ouni datt een déi al Maschinn beréiert. Säi Fournisseur liwwert och Korrekture fir d'Tunnelimplementatioun, déi den Host ni kritt. Zwou Maschinnen an eng Frist sinn kee Grond, eng Rezept mat stateschem Geheimnis aus engem Forumsbäitrag ze kopéieren.

Gitt all Gateway seng eege Peer-Identitéit, amplaz eng Clientkonfiguratioun iwwer eng Flott ze klonen. Wann eng Eenheet ersat gëtt, widerruft déi al Identitéit am selwechte Moment, wou Dir déi nei online bréngt, soss bleift Dir mat zwou onkontrolléierte Kopien, déi sech um selwechten Endpunkt authentifizéieren. Lagert d'Schlësselen do, wou d'Gestiounsplang vum Gateway se erwaart, behandelt eng Konfiguratiounssécherung als Geheimnis a kontrolléiert, wien déi Konfiguratioun ka schécken, well se decidéiert elo, wat den ale Host erreeche kann.

Erlaabt Servicer, net Netzwierker

Schreift d'Politik a Begrëffer vu Protokoll, Port a Richtung tëscht den zwou Verbindungen. Een erlaabte Port fir eng eenzeg Applikatiounsadress ass déi gewéinlech Äntwert, an en administratiwe Wee iwwer en Spronghost deckt de Rescht.

D'Fernadministratioun vum ale Host sollt net ënner der selwechter Regel lafen wéi d'Applikatioun, an d'Refus ze testen ass esou wichteg wéi d'Regel ze schreiwen. Schéckt eng Ufro vum Host un eng Destinatioun, déi Dir erwaart ofgeleent ze ginn, a bestätegt, datt de Refus aus der Politik kënnt an net aus enger feelender Route. Loggt d'Flëss, déi Dir erlaabt, wärend den Design nei ass, fir ze gesinn, wat d'Applikatioun tatsächlech benotzt, an net wat hir Dokumentatioun behaapt. Zwou Subnetzen zesummenzemaachen, well en iwwerbréckte Tutorial méi kuerz ausgesouch, ass de Wee, wéi en ale Segment still eng Sprongbriet gëtt.

Setzt den ale Listener net direkt dem Internet aus als Ofkierzung ëm de Gateway. Hält den administratiwe Wee getrennt vum Applikatiounswee, sou datt d'Kompromittéierung vun engem deen aneren net ausléisert. Eng Regel, déi ni ausgeübt gëtt, ass eng Regel, déi keen iwwerpréift huet, an dofir gehéiert déi ofgeleent Destinatioun an den Akzeptanzlaf.

Wiederherstellung muss ouni den Tunnel funktionéieren

Entscheet, wien de Gateway aktualiséiert a restauréiert, ier den éischte Ausfall kënnt, a stellt sécher, datt déi Persoun en erreeche kann ouni den Tunnel, deen en ofschléisst. Konsolzougang, en lokale Gestiounsport oder en Out-of-Band-Wee zielen all als Äntwerten. En Gateway, deen nëmmen iwwer den Tunnel konfiguréiert ka ginn, deen en ubitt, ass eng Falle, déi gedëlleg op e schlechte Firmware-Push waart.

Schreift de Runbook fir de Feeler, deen Dir tatsächlech begéint: Tunnel ënnen, Gateway dout, Hostplack fort. Haalt d'Wiederherstellungsbild vum Host ënner där Supportarrangement, déi et nach gëtt, a denkt drun, datt eng Restauratioun och de Softwarezoustand an d'Berechtegungen an deem Bild zréckbréngt. Restauréiert fir d'éischt op de isoléierte Segment, bestätegt, datt d'Applikatioun ufänkt, a verbënnt dunn eréischt eppes erëm; wann de Gateway sech ännert, aktualiséiert de Runbook an den Inventaire an der selwechter Sëtzung.

Zertifikater, Aueren a Signaturwarnungen

Den Ofleef vum Zertifikat vun engem Installateur virausgesäit net vu sech aus, wat eng Signaturpréifung haut wäert soen. Dem Microsoft seng Leedung zu Authenticode-Zäitstempelen erkläert, datt en Zäitstempel eng Signatur no dem Ofleef vum Signaturzertifikat nach verifizéierbar ka halen, an datt d'Validéierung nach ëmmer vun der Signatur, der Vertrauenskette an dem Verifizéierer ofhängt, deen d'Aarbecht mécht. Zwou Maschinnen mat ënnerschiddleche Vertrauensspäicher kënnen deemno iwwer déiselwecht Datei ënnerschiddlech Meenung sinn. En ofgelafene Signataire ass kee Beweis, datt eng Binärdatei béiswëlleg ass, an eng gëlteg Signatur ass kee Beweis, datt d'Software ënnerhal gëtt.

Verreegelt d'Systemauer net zréck a schalt d'Signaturpréifungen net aus, fir en alen Installateur lafen ze loossen. Besuergt en autoriséierten Artefakt bei deem, deen d'Applikatioun nach ënnerstëtzt, a loosst se soen, wat d'Plattform akzeptéiert. Behandelt Bäiträg, déi behaapten, e bestëmmte Build wier de leschte fir XP gewiescht, als Geschicht an net als Installatiounszil, well déi richteg Ufuerderung vun der Applikatioun ofhängt; wann Erhaalungsaarbecht wierklech néideg ass, haalt se op engem isoléierte Segment wäit ewech vum Produktiounszougang an dokumentéiert, firwat et se gëtt.