VPN šliuzą pastatykite šalia Windows XP, o ne jo viduje

Kažkur pastate stovi mašina, kuri vykdo programą, kurios niekas negali pakeisti, operacinėje sistemoje, kurios nieko negalima jungti. Ėjimas nuo to hosto tinklo adapterio į išorę yra greičiausias būdas pamatyti, kur turi būti tunelis. Daugumoje projektų jis visai nepriklauso hostui. Perkelkite jį vienu žingsniu toliau į prižiūrimą šliuzą, ir sena problema susitrauks iki programos, nuo kurios prasidėjo.

Pradėkite nuo hosto adapterio, o ne nuo VPN kliento

Atidarykite adapterio savybes ir priskirkite hostui fiksuotą adresą mažame skirtame segmente, o šliuzą padarykite jo numatytuoju maršrutu. Tada hostui nereikia tunelio kliento, tunelio kredencialų ar maršrutų lentelės įrašų į platesnį įmonės tinklą. Jei programai reikia vieno nuotolinio potinklio, pridėkite būtent tą vieną maršrutą.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ta komanda pritvirtina vieną paskirties tašką prie šliuzo, o visa kita palieka be maršruto, ir tai yra norima forma. Patvirtinkite rezultatą su route print, o ne pasitikėdami išėjimo kodu. Tada patikrinkite, ar programa vis dar išsprendžia savo serverio vardą, nes senas hostas su sugadintu sprendikliu atrodo lygiai kaip tinklo gedimas, o sprendiklio taisymas yra penkių minučių darbas, tuo tarpu programos atstatymas po klaidingo tinklo pakeitimo ne. Kiekvienas paskirties taškas, kurio hostas nepasiekia, yra vienu mažiau dalyku, kurį galima įkalbinti seną tinklo kamieną užpulti.

Padėkite tunelį ant techninės įrangos, kurią galite atnaujinti

Šliuzui reikia dviejų sąsajų: viena nukreipta į hosto segmentą, kita į vietą, kur gyvena programa, o tunelis baigiasi antrojoje. Tas įrenginys gali gauti programinės įrangos atnaujinimus, pakeisti savo kriptografinę konfigūraciją ir registruoti srautus, niekam neliečiant senos mašinos. Jo tiekėjas taip pat tiekia tunelio įgyvendinimo pataisas, kurių hostas niekada negaus. Dvi mašinos ir terminas nėra priežastis kopijuoti receptą su statine paslaptimi iš forumo žinutės.

Suteikite kiekvienam šliuzui savo partnerio tapatybę, o ne klonuokite vieną kliento konfigūraciją visam parkui. Kai įrenginys pakeičiamas, panaikinkite seną tapatybę tuo pačiu metu, kai įjungiate naują, kitaip liks dvi nekontroliuojamos kopijos, autentifikuojančios tame pačiame galiniame taške. Saugokite raktus ten, kur jų tikisi šliuzo valdymo plokštuma, su konfigūracijos atsargine kopija elkitės kaip su paslaptimi ir peržiūrėkite, kas gali tą konfigūraciją siųsti, nes dabar tai lemia, ką senas hostas gali pasiekti.

Leiskite paslaugas, o ne tinklus

Parašykite politiką pagal protokolą, prievadą ir kryptį tarp dviejų jungčių. Vienas leidžiamas prievadas į vieną programos adresą yra įprastas atsakymas, o administracinis kelias per šuolio hostą padengia likusį.

Nuotolinis seno hosto administravimas neturėtų eiti ta pačia taisykle kaip programa, o atmetimo testavimas taip pat svarbus kaip taisyklės rašymas. Išsiųskite vieną užklausą iš hosto į paskirties tašką, kurį tikitiesi atmetimo, ir patvirtinkite, kad atmetimas kyla iš politikos, o ne iš trūkstamo maršruto. Registruokite leidžiamus srautus, kol projektas naujas, kad matytumėte, ką programa iš tikrųjų naudoja, o ne ką teigia jos dokumentacija. Sujungti du potinklius todėl, kad tiltu paremtas vadovėlis atrodė trumpesnis, yra būdas, kuriuo senas segmentas tyliai tampa tramplinu.

Nedarykite seno klausytojo tiesiogiai prieinamo internetui kaip apėjimo aplink šliuzą. Laikykite administracinį kelią atskirai nuo programos kelio, kad vieno kompromitavimas neperduotų kito. Taisyklė, kuri niekada nevykdoma, yra taisyklė, kurios niekas nepatikrino, todėl atmestas paskirties taškas priklauso priėmimo eigai.

Atkūrimas turi veikti be tunelio

Nuspręskite, kas atnaujins ir atkurs šliuzą prieš pirmą sutrikimą, ir įsitikinkite, kad tas žmogus gali jį pasiekti be tunelio, kurį jis užbaigia. Konsolės prieiga, vietinis valdymo prievadas ar už juostos ribų esantis kelias visi laikomi atsakymais. Šliuzas, kurį galima konfigūruoti tik per jo teikiamą tunelį, yra spąstai, kantriai laukiantys blogo programinės įrangos siuntimo.

Parašykite vadovą gedimui, su kuriuo tikrai susidursite: tunelis žemyn, šliuzas miręs, hosto diskas dingo. Laikykite hosto atkūrimo atvaizdą pagal bet kokią dar galiojančią palaikymo sutartį ir atminkite, kad atkūrimas taip pat atkuria programinės įrangos būseną ir kredencialus tame atvaizde. Pirmiausia atkurkite izoliuotame segmente, patvirtinkite, kad programa paleidžiama, ir tik tada vėl prijunkite ką nors; kai šliuzas keičiasi, atnaujinkite vadovą ir inventorų tame pačiame posėdyje.

Sertifikatai, laikrodžiai ir parašo įspėjimai

Diegimo programos sertifikato galiojimo pabaiga pati savaime nenuspėja, ką šiandien pasakys parašo patikra. Microsoft Authenticode laiko žymų gairės aiškina, kad laiko žyma gali išlaikyti parašą patikrinamą pasibaigus parašo sertifikatui, o validacija vis dar priklauso nuo parašo, pasitikėjimo grandinės ir darbą atliekančio tikrintojo. Todėl dvi mašinos su skirtingomis pasitikėjimo saugyklomis gali nesutarti dėl to paties failo. Pasibaigęs signataras nėra įrodymas, kad dvejetainis failas yra kenkėjiškas, o galiojantis parašas nėra įrodymas, kad programinė įranga prižiūrima.

Neperkelkite sistemos laikrodžio atgal ir neišjunkite parašo patikrų, kad veiktų sena diegimo programa. Gaukite leistiną artefaktą iš to, kas dar palaiko programą, ir leiskite jiems pasakyti, ką platforma priima. Teiginius, kad tam tikra versija buvo paskutinė XP, laikykite istorija, o ne diegimo tikslu, nes tikrasis reikalavimas priklauso nuo programos; jei išsaugojimo darbas tikrai būtinas, laikykite jį izoliuotame segmente toli nuo gamybos prieigos ir dokumentuokite, kodėl jis egzistuoja.