Du VPN vienu metu? Pirmiausia apibrėžkite galinio taško ribą

Du vienu metu prisijungę VPN klientai įtraukia vieną galinį tašką į du išteklių domenus, ir tai yra įgaliojimų klausimas anksčiau, nei maršrutizavimo klausimas. Tai, kad tuneliai užšifruoti, nieko nesako apie tai, ar to nešiojamojo kompiuterio programos turėtų pasiekti abu tinklus, ar vieno tinklo partneris turėtų per jį pasiekti kitą. Eikite per toliau pateiktas patikras iš eilės ir sustokite ties pirmąja, į kurią niekas negali atsakyti. Patvirtinti persidengimą be tų atsakymų yra tas kelias, kuriuo patogi tvarka tyliai tampa tiltu.

Pradėkite nuo tikrojo darbo: kokių išteklių kiekviename tinkle žmogui reikia ir ar abu tinklų savininkai leidžia vienu metu prisijungti iš vieno įrenginio?

Patikrinkite, kas leidžia persidengimą

Du tinklai, kurių kiekvienas autentifikuoja tą patį naudotoją, vis tiek turi atskirus savininkus, o šie savininkai gali turėti nesuderinamų prielaidų apie įrenginius, kurie taip pat prijungti kitur. Paklauskite abiejų, prieš ką nors projektuodami. Nuotolinės prieigos taisyklė, parašyta izoliuotiems nešiojamiesiems kompiuteriams, dažnai visiškai neturi atsakymo mašinai, kuri vienu metu yra partnerio tinkle.

Gaukite atsakymą raštu ir saugokite jį kartu su pakeitimo įrašu. Jei viena pusė sako ne, likusi šio sąrašo dalis yra akademinė, ir jūs sutaupėte sau dizaino peržiūrą.

Nelaikykite dviejų sąsajų maršrutizatoriumi

Dvi aktyvios sąsajos automatiškai nepaverčia įrenginio maršrutizatoriumi ar Ethernet tiltu. Patikrinkite palaikomą persiuntimo, tiltų, NAT ir tarpinio serverio konfigūraciją, prieš ką nors vadindami tranzito keliu, ir išsaugokite bet kokias nesusijusias įgaliotas maršrutizavimo pareigas, kurias įrenginys jau turi. Nešiojamasis kompiuteris, kuriame veikia vietinis konteinerių tinklas ar virtualizacijos priegloba, čia nėra neutralus stebėtojas.

Jei reikalavimas tikrai yra tranzitas iš A į B, jo vieta yra tinklo įrenginyje su savininku, audituojamu taisyklių rinkiniu ir pakeitimų procesu. Netyčia tai padaryti per darbo stotelę yra tas rezultatas, kurio ši patikra egzistuoja, kad užkirstų kelią.

Į galinį tašką žiūrėkite ir kaip į prieigos tašką

Įrenginys yra ne tik abiejų tinklų klientas; jis yra priegloba, siūlanti paslaugas. Leidžiama paslauga toje mašinoje gali būti pasiekiama VPN partneriui pagal prieglobos užkardą ir kliento taisykles, tad atviras valdymo prievadas nešiojamajame kompiuteryje dabar yra nuotolinio tinklo atakos paviršiaus dalis. Išvardykite, kas klausosi, prieš ginčydamiesi dėl maršrutų, nes vienas susietas derinimo prievadas sveria daugiau nei bet kokia tunelio taisyklė. Ribokite prieglobos paslaugas jų numatytiems šaltiniams ir tikslams.

Kiekvieną nuotolinį tinklą laikykite išteklių domenu su aiškiais leidimais, o ne suteikite platų pasitikėjimą todėl, kad srautas atėjo užšifruotas. NIST nulinio pasitikėjimo architektūra atskiria išteklių įgaliojimus nuo numanomo pasitikėjimo tinklo vieta, ir būtent šį skirtumą nešiojamasis kompiuteris su dviem tuneliais išplauna.

Užduokite dar vieną klausimą, kol esate čia: jei vietinė paslauga ar įgaliota programa būtų pažeista, kokie ištekliai ir prisijungimo duomenys taptų pasiekiami iš tos atramos? Užsirašykite atsakymą, nes tai yra tikrasis viso dizaino rizikos pareiškimas.

Pasirinkite darbo ribą, atitinkančią grėsmių modelį

Maršrutizavimas pagal programą gali priskirti programas numatytiems tuneliams, o atskiri darbo profiliai, naudotojai ar palaikomos virtualios darbo erdvės gali pridėti tapatybės ir duomenų ribas pagal platformą. Sulygiuokite ribą su grėsmių modeliu, o ne su demonstracija: maršrutizavimo atskyrimas be tapatybės atskyrimo vis tiek palieka vieną naršyklės profilį su abiem sesijomis.

Tinklo vardų erdvė izoliuoja maršrutizavimą ir tinklo būseną; ji neizoliuoja kiekvieno failų sistemos kelio, iškarpinės ar prisijungimo duomenų agento. Virtualioji mašina ar valdomas profilis taip pat reikalauja apgalvotos bendrinimo ir prieglobos administravimo taisyklės. Užrašykite, kurie aplankai, autentifikavimo pagalbininkai ir kopijavimo bei įklijavimo keliai lieka prieinami, nes būtent šie kanalai iš tikrųjų perneša duomenis tarp dviejų domenų.

Nuosekliam darbui sąmoningas perjungimas paprastai yra paprastesnis nei nuolatinė prieiga vienu metu. Užbaikite priklausomą operaciją ir tada patikrinkite kitos darbo erdvės tapatybę bei maršrutą, o ne palikite fono įrankius pririštus prie dviprasmiško konteksto.

Patvirtinimą rašykite kaip užduotį, o ne kaip šūkį

Patvirtinimo įrašas turėtų skaitytis kaip užduotis: palaikymo darbo erdvė gali pasiekti tinklo A paslaugų konsolę ir tinklo B bilietų portalą, be įgalioto persiuntimo iš A į B, be bendro prisijungimo duomenų agento ir be automatinio failų sinchronizavimo. Kiekviena to sakinio dalis atitinka kažką, ką galite sukonfigūruoti ir išbandyti.

Tada patikrinkite neigiamus atvejus, o ne tik teigiamus. Pabandykite pasiekti išteklių, kuris turėtų būti už ribos, patvirtinkite, kad prieglobos paslauga neatsako iš kitos pusės, ir patikrinkite, ar prisijungimo duomenų pagalbininkas tyliai neaptarnauja abiejų domenų.

Saugokite įrašą prie įrenginio, o ne tik biliete, kad kitas žmogus, paveldėjęs šią tvarką, žinotų, kuri riba buvo sąmoninga. Nešiojamojo kompiuterio su dviem tuneliais ir be užrašytos ribos neįmanoma atskirti nuo klaidingos konfigūracijos.