Novietojiet VPN vārteju blakus Windows XP, nevis tā iekšienē

Kaut kur ēkā stāv mašīna, kas darbina lietotni, kuru neviens nevar aizstāt, operētājsistēmā, kurai nekas nav jāpievieno. Iešana no šī resursdatora tīkla adaptera uz āru ir ātrākais veids, kā redzēt, kur tunelim jāatrodas. Lielākajā daļā projektu tas vispār nepieder resursdatoram. Pārvietojiet to vienu soli tālāk uz uzturētu vārteju, un vecā problēma saraujas atpakaļ līdz lietotnei, ar ko tā sākās.

Sāciet ar resursdatora adapteri, nevis VPN klientu

Atveriet adaptera rekvizītus un piešķiriet resursdatoram fiksētu adresi nelielā īpašā segmentā, ar vārteju kā tā noklusējuma maršrutu. Tad resursdatoram nav vajadzīgs tuneļa klients, tuneļa akreditācijas dati vai maršrutu tabulas ieraksti uz plašāko uzņēmuma tīklu. Ja lietotnei ir vajadzīgs viens attālināts apakštīkls, pievienojiet tieši šo vienu maršrutu.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Šī komanda piesaista vienu galamērķi vārtejai un atstāj visu pārējo bez maršruta, un tā ir vēlamā forma. Apstipriniet rezultātu ar route print, nevis uzticieties izejas kodam. Pēc tam pārbaudiet, vai lietotne joprojām atrisina sava servera nosaukumu, jo vecs resursdators ar salauztu atrisinātāju izskatās tieši kā tīkla kļūme, un atrisinātāja labošana ir piecu minūšu darbs, savukārt lietotnes pārbūve pēc nepareizas tīkla izmaiņas nav. Katrs galamērķis, ko resursdators nevar sasniegt, ir par vienu lietu mazāk, ko var pierunāt vecu tīkla steiku uzbrukt.

Novietojiet tuneli uz aparatūras, ko varat atjaunināt

Vārtejai vajadzīgas divas saskarnes: viena pret resursdatora segmentu un viena pret vietu, kur dzīvo lietotne, un tunelis beidzas otrajā. Šī ierīce var saņemt aparātprogrammatūras atjauninājumus, nomainīt savu kriptogrāfisko konfigurāciju un reģistrēt plūsmas, nevienam nepieskaroties vecajai mašīnai. Tās piegādātājs piegādā arī tuneļa ieviešanas labojumus, ko resursdators nekad nesaņems. Divas mašīnas un termiņš nav iemesls kopēt recepti ar statisku noslēpumu no foruma ziņas.

Piešķiriet katrai vārtejai savu vienaudža identitāti, nevis klonējiet vienu klienta konfigurāciju visai flotei. Kad ierīce tiek nomainīta, atsauciet veco identitāti tajā pašā brīdī, kad ieslēdzat jauno, citādi paliek divas nekontrolētas kopijas, kas autentificējas vienā galapunktā. Glabājiet atslēgas tur, kur tās gaida vārtejas pārvaldības plakne, izturieties pret konfigurācijas dublējumu kā pret noslēpumu un pārskatiet, kas var nosūtīt šo konfigurāciju, jo tagad tas nosaka, ko vecais resursdators var sasniegt.

Atļaujiet pakalpojumus, nevis tīklus

Uzrakstiet politiku protokola, porta un virziena izteiksmē starp abiem savienojumiem. Viens atļauts ports uz vienu lietotnes adresi ir parastā atbilde, un administratīvais ceļš caur lēciena resursdatoru nosedz pārējo.

Vecā resursdatora attālinātā administrēšana nedrīkst iet pa to pašu noteikumu kā lietotne, un atteikuma pārbaude ir tikpat svarīga kā noteikuma rakstīšana. Nosūtiet vienu pieprasījumu no resursdatora uz galamērķi, kuru paredzat atteikt, un apstipriniet, ka atteikums nāk no politikas, nevis no trūkstoša maršruta. Reģistrējiet atļautās plūsmas, kamēr projekts ir jauns, lai redzētu, ko lietotne faktiski izmanto, nevis ko apgalvo tās dokumentācija. Divu apakštīklu apvienošana tāpēc, ka tiltotā apmācība šķita īsāka, ir veids, kā vecs segments klusi kļūst par tramplīnu.

Neatklājiet veco klausītāju tieši internetam kā apvedceļu ap vārteju. Turiet administratīvo ceļu atsevišķi no lietotnes ceļa, lai viena kompromitēšana nepadotu otru. Noteikums, kas nekad netiek izpildīts, ir noteikums, ko neviens nav pārbaudījis, tāpēc atteiktais galamērķis ietilpst pieņemšanas gaitā.

Atjaunošanai jādarbojas bez tuneļa

Pirms pirmā pārtraukuma izlemiet, kas atjauninās un atjaunos vārteju, un pārliecinieties, ka šī persona to var sasniegt bez tuneļa, kuru tā pabeidz. Konsoles piekļuve, vietējais pārvaldības ports vai ārpusjoslas ceļš visi tiek uzskatīti par atbildēm. Vārteja, ko var konfigurēt tikai caur tās nodrošināto tuneli, ir slazds, kas pacietīgi gaida sliktu aparātprogrammatūras nosūtīšanu.

Uzrakstiet rokasgrāmatu kļūmei, ar kuru jūs patiešām saskarsities: tunelis lejā, vārteja mirusi, resursdatora disks pazudis. Glabājiet resursdatora atjaunošanas attēlu saskaņā ar jebkuru vēl spēkā esošu atbalsta vienošanos un atcerieties, ka atjaunošana atjauno arī programmatūras stāvokli un akreditācijas datus šajā attēlā. Vispirms atjaunojiet izolētajā segmentā, apstipriniet, ka lietotne startē, un tikai tad atkal pievienojiet kaut ko; kad vārteja mainās, tajā pašā sesijā atjauniniet rokasgrāmatu un inventāru.

Sertifikāti, pulksteņi un paraksta brīdinājumi

Instalētāja sertifikāta derīguma termiņa beigas pašas par sevi neparedz, ko šodien teiks paraksta pārbaude. Microsoft Authenticode laika zīmogu norādījumi skaidro, ka laika zīmogs var saglabāt parakstu pārbaudāmu pēc parakstīšanas sertifikāta termiņa beigām, un validācija joprojām ir atkarīga no paraksta, uzticības ķēdes un pārbaudītāja, kurš veic darbu. Tāpēc divas mašīnas ar atšķirīgām uzticības krātuvēm var nesaskanēt par vienu un to pašu failu. Beidzies parakstītājs nav pierādījums, ka binārais fails ir ļaunprātīgs, un derīgs paraksts nav pierādījums, ka programmatūra tiek uzturēta.

Nepārvietojiet sistēmas pulksteni atpakaļ un neizslēdziet paraksta pārbaudes, lai vecais instalētājs darbotos. Iegūstiet atļautu artefaktu no tā, kas joprojām atbalsta lietotni, un ļaujiet viņiem pateikt, ko platforma pieņem. Uzskatiet apgalvojumus, ka noteikta būvējuma versija bija pēdējā XP, par vēsturi, nevis instalēšanas mērķi, jo reālā prasība ir atkarīga no lietotnes; ja saglabāšanas darbs patiešām ir nepieciešams, turiet to izolētā segmentā tālu no ražošanas piekļuves un dokumentējiet, kāpēc tas pastāv.