Divi VPN vienlaikus? Vispirms definējiet galapunkta robežu

Divi vienlaikus pievienoti VPN klienti ievieto vienu galapunktu divos resursu domēnos, un tas ir autorizācijas jautājums pirms maršrutēšanas jautājuma. Tas, ka tuneļi ir šifrēti, neko nepasaka par to, vai tā klēpjdatora lietotnēm vajadzētu sasniegt abus tīklus, vai viena tīkla partnerim vajadzētu caur to sasniegt otru. Iziet pārbaudes zemāk pēc kārtas un apstājieties pie pirmās, uz kuru neviens nevar atbildēt. Šīs pārklāšanās apstiprināšana bez šīm atbildēm ir ceļš, kā ērta kārtība klusi kļūst par tiltu.

Sāciet ar faktisko darbu: kādi resursi katrā tīklā cilvēkam ir vajadzīgi, un vai abi tīklu īpašnieki atļauj vienlaicīgu piekļuvi no vienas ierīces?

Pārbaudiet, kas atļauj pārklāšanos

Diviem tīkliem, no kuriem katrs autentificē vienu un to pašu lietotāju, joprojām ir atsevišķi īpašnieki, un šiem īpašniekiem var būt nesavienojami pieņēmumi par ierīcēm, kas ir pievienotas arī citur. Pajautājiet abiem, pirms kaut ko projektējat. Attālinātās piekļuves politika, kas rakstīta izolētiem klēpjdatoriem, bieži vien vispār nav atbildes mašīnai, kas vienlaikus atrodas partnera tīklā.

Iegūstiet atbildi rakstiski un glabājiet to kopā ar izmaiņu reģistru. Ja viena puse saka nē, pārējais šajā sarakstā ir akadēmisks, un jūs esat ietaupījis dizaina pārskatīšanu.

Neuzskatiet divas saskarnes par maršrutētāju

Divas aktīvas saskarnes automātiski nepadara ierīci par maršrutētāju vai Ethernet tiltu. Pārbaudiet atbalstīto pāradresēšanas, tilta, NAT un starpniekservera konfigurāciju, pirms kaut ko saucat par tranzīta ceļu, un saglabājiet jebkurus nesaistītus atļautus maršrutēšanas pienākumus, kas ierīcei jau ir. Klēpjdators, kurā darbojas vietējais konteineru tīkls vai virtualizācijas saimnieks, šeit nav neitrāls novērotājs.

Ja prasība patiešām ir tranzīts no A uz B, tā vieta ir tīkla ierīcē ar īpašnieku, revidējamu noteikumu kopumu un izmaiņu procesu. Tā nejauša veikšana caur darbstaciju ir rezultāts, kura novēršanai šī pārbaude pastāv.

Uzskatiet galapunktu arī par piekļuves punktu

Ierīce nav tikai abu tīklu klients; tā ir saimnieks, kas piedāvā pakalpojumus. Atļauts pakalpojums šajā mašīnā var būt sasniedzams no VPN partnera atbilstoši saimnieka ugunsmūrim un klienta politikai, tāpēc atvērts pārvaldības ports klēpjdatorā tagad ir daļa no attālā tīkla uzbrukuma virsmas. Uzskaitiet, kas klausās, pirms strīdaties par maršrutiem, jo viens piesaistīts atkļūdošanas ports sver vairāk par jebkuru tuneļa politiku. Ierobežojiet saimnieka pakalpojumus ar to paredzētajiem avotiem un mērķiem.

Uzskatiet katru attālo tīklu par resursu domēnu ar skaidrām atļaujām, nevis piešķiriet plašu uzticēšanos tāpēc, ka trafiks ieradās šifrēts. NIST nulles uzticēšanās arhitektūra atdala resursu autorizāciju no netiešas uzticēšanās tīkla atrašanās vietai, un tieši šo atšķirību klēpjdators ar diviem tuneļiem izpludina.

Uzdodiet vēl vienu jautājumu, kamēr esat šeit: ja vietējais pakalpojums vai atļauta lietotne tiktu kompromitēta, kuri resursi un akreditācijas dati kļūtu sasniedzami no šī atspēriena punkta? Pierakstiet atbildi, jo tas ir īstais riska paziņojums visam dizainam.

Izvēlieties darba robežu, kas atbilst draudu modelim

Maršrutēšana pēc lietotnes var piešķirt programmas paredzētajiem tuneļiem, un atsevišķi darba profili, lietotāji vai atbalstītas virtuālās darbvietas var pievienot identitātes un datu robežas atkarībā no platformas. Saskaņojiet robežu ar draudu modeli, nevis ar demonstrāciju: maršrutēšanas sadalījums bez identitātes sadalījuma joprojām atstāj vienu pārlūka profilu ar abām sesijām.

Tīkla nosaukumvieta izolē maršrutēšanu un tīkla stāvokli; tā neizolē katru failu sistēmas ceļu, starpliktuvi vai akreditācijas datu aģentu. Virtuālajai mašīnai vai pārvaldītam profilam tāpat vajadzīga apzināta koplietošanas un saimnieka administrēšanas politika. Pierakstiet, kuras mapes, autentifikācijas palīgi un kopēšanas un ielīmēšanas ceļi paliek pieejami, jo tie ir kanāli, kas faktiski pārnēsā datus starp abiem domēniem.

Secīgam darbam apzināta pārslēgšanās parasti ir vienkāršāka nekā vienlaicīgas piekļuves uzturēšana. Pabeidziet atkarīgo darbību un pēc tam pārbaudiet nākamās darbvietas identitāti un maršrutu, nevis atstājiet fona rīkus piesaistītus neskaidram kontekstam.

Rakstiet apstiprinājumu kā uzdevumu, nevis kā saukli

Apstiprinājuma ierakstam jālasās kā uzdevumam: atbalsta darbvieta drīkst sasniegt tīkla A pakalpojumu konsoli un tīkla B biļešu portālu, bez atļautas pāradresēšanas no A uz B, bez kopīga akreditācijas datu aģenta un bez automātiskas failu sinhronizācijas. Katrs šī teikuma elements atbilst kaut kam, ko varat konfigurēt un pārbaudīt.

Pēc tam pārbaudiet negatīvos gadījumus, ne tikai pozitīvos. Mēģiniet sasniegt resursu, kam jābūt ārpus robežas, apstipriniet, ka saimnieka pakalpojums neatbild no otras puses, un pārbaudiet, vai akreditācijas datu palīgs klusi neapkalpo abus domēnus.

Glabājiet ierakstu kopā ar ierīci, ne tikai biļetē, lai nākamais cilvēks, kas manto šo kārtību, zinātu, kura robeža bija apzināta. Klēpjdatoru ar diviem tuneļiem un bez rakstiskas robežas nevar atšķirt no nepareizas konfigurācijas.