Поставете VPN портата покрај Windows XP, а не внатре во него

Некаде во зградата стои машина што извршува апликација што никој не може да ја замени, на оперативен систем што не треба да се поврзува со ништо. Одењето од мрежниот адаптер на тој домаќин кон надвор е најбрзиот начин да се види каде припаѓа тунелот. Во повеќето проекти тој воопшто не припаѓа на домаќинот. Преместете го еден чекор подалеку на одржувана порта, и стариот проблем се намалува на апликацијата со која почна.

Започнете од адаптерот на домаќинот, не од VPN клиент

Отворете ги својствата на адаптерот и дајте му на домаќинот фиксна адреса на мал посебен сегмент, со портата како негова стандардна рута. Тогаш на домаќинот не му треба клиент за тунел, акредитиви за тунел или записи во табелата со рути до пошироката корпоративна мрежа. Ако на апликацијата ѝ треба една оддалечена подмрежа, додајте точно таа една рута.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Таа команда прицврстува едно одредиште на портата и го остава сето друго без рута, и тоа е саканата форма. Потврдете го резултатот со route print наместо да му верувате на излезниот код. Потоа проверете дали апликацијата сѐ уште го решава името на својот сервер, бидејќи стар домаќин со расипан резолвер изгледа точно како мрежен дефект, а поправањето на резолверот е петминутна работа, додека повторното градење на апликација по погрешна мрежна промена не е. Секое одредиште до кое домаќинот не може да стигне е една работа помалку во која може да се наговори стар мрежен стек да нападне.

Ставете го тунелот на хардвер што можете да го ажурирате

Портата сака два интерфејса: еден кон сегментот на домаќинот и еден кон местото каде живее апликацијата, со тунелот што завршува на вториот. Тој уред може да прима ажурирања на фирмверот, да ја замени својата криптографска конфигурација и да евидентира текови без никој да ја допре старата машина. Неговиот добавувач исто така испорачува поправки за имплементацијата на тунелот, кои домаќинот никогаш нема да ги добие. Две машини и рок не се причина да се копира рецепт со статична тајна од објава на форум.

Дајте ѝ на секоја порта сопствен идентитет на партнер наместо да клонирате една клиентска конфигурација на цела флота. Кога се заменува единица, отповикајте го стариот идентитет во истиот момент кога ја пуштате новата онлајн, инаку остануваат две неконтролирани копии што се автентицираат на истото одредиште. Чувајте ги клучевите таму каде што ги очекува управувачката рамнина на портата, третирајте резервната копија на конфигурацијата како тајна и проверете кој може да ја испрати таа конфигурација, бидејќи сега таа одлучува до каде стариот домаќин може да стигне.

Дозволете услуги, не мрежи

Напишете ја политиката во смисла на протокол, порта и насока помеѓу двете поврзувања. Една дозволена порта кон една адреса на апликација е вообичаениот одговор, а административната патека преку скокачки домаќин го покрива остатокот.

Далечинската администрација на стариот домаќин не треба да оди по истото правило како апликацијата, а тестирањето на одбивањето е исто толку важно како пишувањето на правилото. Испратете едно барање од домаќинот до одредиште за кое очекувате да биде одбиено и потврдете дека одбивањето доаѓа од политиката, а не од рута што недостасува. Евидентирајте ги тековите што ги дозволувате додека проектот е нов, за да видите што апликацијата навистина користи, а не што тврди нејзината документација. Спојувањето на две подмрежи затоа што премостено упатство изгледаше пократко е начинот на кој стар сегмент тивко станува отскочна даска.

Не го изложувајте стариот слушател директно на интернет како кратенка околу портата. Држете ја административната патека одделена од патеката на апликацијата, за да не предаде компромитацијата на едната другата. Правило што никогаш не се применува е правило што никој не го проверил, и затоа одбиеното одредиште припаѓа на приемната проверка.

Враќањето мора да работи без тунелот

Одлучете кој ја ажурира и враќа портата пред првиот прекин и уверете се дека тоа лице може да стигне до неа без тунелот што таа го завршува. Пристапот до конзола, локална управувачка порта или вонпојасна патека сите се сметаат за одговори. Порта што може да се конфигурира само преку тунелот што го обезбедува е замка што трпеливо чека лошо испраќање фирмвер.

Напишете прирачник за дефектот со кој навистина ќе се сретнете: тунел долу, порта мртва, дискот на домаќинот исчезнат. Чувајте ја сликата за враќање на домаќинот според каква било сѐ уште постоечка договорка за поддршка и запомнете дека враќањето ги враќа и софтверската состојба и акредитивите во таа слика. Прво вратете на изолираниот сегмент, потврдете дека апликацијата стартува и само потоа повторно поврзете нешто; кога портата се менува, ажурирајте го прирачникот и инвентарот во истата седница.

Сертификати, часовници и предупредувања за потпис

Истекот на сертификатот на инсталерот сам по себе не предвидува што ќе каже денес проверката на потписот. Упатството на Microsoft за временски ознаки на Authenticode објаснува дека временската ознака може да го задржи потписот проверлив откако ќе истече сертификатот за потпишување, а валидацијата сѐ уште зависи од потписот, синџирот на доверба и проверувачот што ја врши работата. Затоа две машини со различни складишта за доверба можат да не се согласат за истиот фајл. Истечен потписник не е доказ дека бинарниот файл е злонамерен, а важечки потпис не е доказ дека софтверот се одржува.

Не поместувајте го системскиот часовник наназад и не исклучувајте ги проверките на потписот за да работи стар инсталер. Набавете овластен артефакт од оној што сѐ уште ја поддржува апликацијата и оставете ги тие да кажат што прифаќа платформата. Објавите што тврдат дека одреден билд бил последниот за XP третирајте ги како историја, а не како цел за инсталација, бидејќи вистинското барање зависи од апликацијата; ако работата за зачувување е навистина потребна, држете ја на изолиран сегмент далеку од производствен пристап и документирајте зошто постои.