Две VPN истовремено? Прво дефинирајте ја границата на крајната точка

Два VPN клиенти поврзани истовремено ставаат една крајна точка во две домени на ресурси, и тоа е прашање на авторизација пред да биде прашање на рутирање. Тоа што тунелите се шифрирани не кажува ништо за тоа дали апликациите на тој преносен компјутер треба да стигнат до двете мрежи, или дали партнерот на едната мрежа треба преку него да стигне до другата. Поминете ги проверките подолу по ред и застанете на првата на која никој не може да одговори. Одобрувањето на преклопувањето без тие одговори е начинот на кој удобното уредување тивко станува мост.

Почнете од вистинската работа: кои ресурси во секоја мрежа му се потребни на човекот и дали двата сопственици на мрежите дозволуваат истовремен пристап од еден уред?

Проверете кој го дозволува преклопувањето

Две мрежи што секоја посебно го автентицира истиот корисник уште имаат одделни сопственици, а тие сопственици може да имаат неспоиви претпоставки за уреди што се поврзани и на друго место. Прашајте ги двајцата пред да дизајнирате нешто. Политиката за далечински пристап напишана за изолирани преносни компјутери често воопшто нема одговор за машина што е истовремено внатре во партнерска мрежа.

Добијте го одговорот писмено и чувајте го со записот за промена. Ако едната страна каже не, остатокот од овој список е академски, и сте си заштедиле еден преглед на дизајнот.

Не третирајте два интерфејса како рутер

Два активни интерфејса не го прават уредот автоматски рутер или Ethernet мост. Проверете ја поддржаната конфигурација за проследување, мост, NAT и прокси пред да опишете нешто како транзитна патека, и зачувајте ги сите неповрзани овластени задачи за рутирање што уредот веќе ги има. Преносниот компјутер што извршува локална контејнерска мрежа или домаќин за виртуелизација овде не е неутрален набљудувач.

Ако барањето навистина е транзит од A до B, тоа и припаѓа на мрежен уред со сопственик, проверлив сет правила и процес на промена. Случајното правење преку работна станица е исходот што оваа проверка постои за да го спречи.

Третирајте ја крајната точка и како пристапна точка

Уредот не е само клиент на двете мрежи; тој е домаќин што нуди услуги. Дозволена услуга на таа машина може да биде достапна од VPN партнер според огнениот ѕид на домаќинот и политиката на клиентот, така што отворен порт за управување на преносниот компјутер сега е дел од нападната површина на далечинската мрежа. Наведете што слуша пред да расправате за рути, зашто еден врзан порт за отстранување грешки е потежок од секоја тунелска политика. Ограничете ги услугите на домаќинот на нивните предвидени извори и цели.

Третирајте ја секоја далечинска мрежа како домен на ресурси со јасни дозволи, наместо да давате широко доверување затоа што сообраќајот пристигна шифриран. Архитектурата на нулта доверба на NIST ја одделува авторизацијата на ресурсите од имплицитното доверување во мрежната локација, и токму таа разлика преносниот компјутер со два тунели ја замаглува.

Поставете уште едно прашање додека сте тука: ако локална услуга или овластена апликација биде компромитирана, кои ресурси и акредитиви би станале достапни од тоа упориште? Запишете го одговорот, зашто тоа е вистинската изјава за ризикот за целиот дизајн.

Изберете работна граница што одговара на моделот на закани

Рутирањето по апликација може да додели програми на предвидените тунели, а одделните работни профили, корисници или поддржани виртуелни работни простори можат да додадат граници на идентитет и податоци зависно од платформата. Усогласете ја границата со моделот на закани, а не со демонстрацијата: поделбата на рутирањето без поделба на идентитетот уште остава еден профил на прелистувач со двете сесии.

Мрежниот именски простор го изолира рутирањето и мрежната состојба; тој не ја изолира секоја патека на податотечниот систем, таблата за копирање или агентот за акредитиви. Виртуелната машина или управуваниот профил исто така бараат смислена политика за споделување и администрација на домаќинот. Запишете кои папки, помагачи за автентикација и патеки за копирање и вметнување остануваат достапни, зашто токму тие канали фактички пренесуваат податоци меѓу двата домени.

За последователна работа, намерното префрлување обично е поедноставно од одржување истовремен пристап. Завршете ја зависната операција и потоа проверете го идентитетот и рутата на следниот работен простор, наместо да оставите заднински алатки врзани за двосмислен контекст.

Напишете го одобрувањето како задача, а не како слоган

Записот за одобрување треба да се чита како задача: работниот простор за поддршка смее да стигне до конзолата за услуги на мрежата A и порталот за билети на мрежата B, без овластено проследување од A до B, без заеднички агент за акредитиви и без автоматска синхронизација на податотеки. Секоја клаузула во таа реченица одговара на нешто што можете да го конфигурирате и тестирате.

Потоа проверете ги негативните случаи, а не само позитивните. Обидете се да стигнете до ресурс што треба да биде надвор од границата, потврдете дека услугата на домаќинот не одговара од другата страна и проверете дека помагачот за акредитиви тивко не им служи на двата домени.

Чувајте го записот со уредот, а не само во тикетот, за да знае следниот човек што го наследува уредувањето која граница била намерна. Преносен компјутер со два тунели и без напишана граница не се разликува од погрешна конфигурација.