Түншүүдийг нэгтгэлгүйгээр түншийн VPN хандалтыг төвлөрүүлэх

Санал үндэслэлтэй: арваад зөөврийн компьютерт тарсан таван түншийн туннель, таван багц клиент хувилбар, таван тусламжийн скрипт, мөн тэдгээр хэрхэн нийлдэгийг мэддэг нэг инженер. Тэдгээрийг хяналттай хандалтын түвшинд шилжүүлэх нь төгсгөлийн цэгүүдийн тархалтыг засна. Үүний зэрэгцээ архитектурт шинэ объект үүсгэдэг — одоо өөрийн эрх олголтын загвар шаарддаг хуваалцсан хандалтын үйлчилгээ; бүгдийн дутуу үнэлдэг эрсдэл бол бүх туннель нээлттэй төв төхөөрөмж чимээгүйгээр хөрш болохыг хэзээ ч зөвшөөрөөгүй байгууллагуудын хоорондын дамжуулах сүлжээ болж хувирах явдал юм. Тэр эрсдэл бол дизайны сонголт, тоног төхөөрөмжийн өөрөө хийдэг зүйл биш. Доорх ажил нь санамсаргүй гаж нөлөөг хүлээж авалгүйгээр тав тухыг хадгалах арга юм.

Түнш бүрийн аль хэдийн гарын үсэг зурсан гэрээнээс эхэл

Ямар ч тохиргооноос өмнө түнш хуваалцсан гарц эсвэл сайтын холболтыг ер нь зөвшөөрч байгаа эсэхийг баталгаажуул. Хувийн алсын хандалтын бүртгэл, төхөөрөмжийн төлөв байдлын шаардлага, эсвэл интерактив MFA урсгал нь хүнгүй хуваалцсан туннель руу шилжих боломжгүй байж болно; нэг хуулбарласан клиент таних мэдээллийн цаана ажилчдыг бөөгнөрүүлэх нь түнш логоо аудитал үргэлжлэх товчлол юм. Зөвшөөрөгдсөн холболт бүрд очих газрын хүрээ, хувийн DNS домэйн, зөвшөөрөгдсөн дотоод эх сурвалж, нэвтрүүлэлтийн хариуцагч, туннель бүтэлгүйтэхэд юу болохыг бүртгэ. Түншээс хуваалцсан холболтыг бичгээр баталгаажуулахыг хүс, тэдний хүлээн авах эх сурвалжийн хүрээг оруулан. Аман зөвшөөрөл нь тэдний аюулгүй байдлын баг солигдох долоо хоногт утгаа өөрчилдөг.

Тэр бүртгэл бол үр дүн. Нэг түншийн хувьд үүнийг бичиж чадахгүй бол тэр түнш төвлөрүүлэхэд бэлэн биш.

Зөвхөн очих газраар биш, контекстээр чиглүүл

Байгууллага бүр ижил RFC 1918 орчноос сонгодог учраас хоёр түнш эцэстээ ижил хувийн хүрээг ашиглана. Энгийн нэг чиглүүлэлтийн хүснэгт зөвхөн очих хаягаар зөв түншийг сонгож чадахгүй тул давхцах хүрээнд тусдаа чиглүүлэлтийн контекст эсвэл өөр тохиролцсон дизайн хэрэгтэй. RFC 4364-ийн дамжуулах домэйны загвар энэ тусгаарлалт яагаад чухал болохыг тайлбарладаг бөгөөд байрлуулалт гарцын платформоосоо ижил шинжийг шаардахын тулд MPLS ажиллуулах шаардлагагүй.

Платформд шууд асуулт тавь: хоёр түнш нэг очих префиксийг хуваалцаж байсан ч сесс аль ажилтны контекстээс ирснээр ялгагдах боломжтой юу? Хариулт нь үгүй бол тэр хязгаарлалт ямар ч борлуулагчийн функцын жагсаалтаас илүү дизайныг тодорхойлно.

Хариулт нь тийм бол чиглүүлэлтийн контекст нь таны баримтжуулж, шалгах зүйл болно, учир нь traceroute-д тэр харагдахгүй.

Ажилтан юу бичих, түнш юу лог болгохыг шийд

Түншийн зарим ажил аппликейшн прокси эсвэл тэр түншийн контекст дотор нээгдсэн алсын ажлын талбарт тохирдог. Бусад ажилд зөвшөөрөгдсөн ажилтны сегментээс чиглүүлсэн сүлжээний хандалт хэрэгтэй бөгөөд хоёулаа алслагдсан талд өөр эх хаяг, өөр аудитын мөр үүсгэдэг. Хуваалцсан хөрвүүлсэн эх хаяг зөвшөөрөгдсөн жагсаалтыг хангахын зэрэгцээ аль төхөөрөмж юу хийснийг нуудаг тул ажилтан ба сессийн найдвартай холбоог хадгалж, гарцын хаягийг таних мэдээлэл гэж үзэхийн оронд аппликейшны нэвтрүүлэлтийг хэвээр үлдээ — түнш хэн хийснийг асуух хүртэл л тохиромжтой.

Дараа нь ажилтны талаас нэг бодит ажлыг алхам алхмаар үз: тэд юу дарж, юу оруулахыг шаардагдаж, түнш логын бичлэг хүсвэл юу харах вэ. Тэр алхалт давтагдахгүй бол дизайн дуусаагүй.

Түнш хоорондын дамжуулалтыг тодорхой хоригло

Хуваалцсан тоног төхөөрөмж хэзээ ч хуваалцсан итгэлийг илэрхийлэх ёсгүй. Хоригийг тохиргоо дутуугийн санамсаргүй байдал биш, нэрлэсэн хариуцагчтай санаатай дүрэм болгон нэмж, өөрөөр амжилттай болох хүсэлтээр хоёр талаас шалга. Шалгалт чухал, учир нь зүгээр л байхгүй зөвшөөрлийг хамааралгүй гомдлыг засахын тулд маршрут нэмсэн дараагийн инженер сэргээж чадна.

Хоригийг зөвшөөрлүүдийн хажууд түншийн бүртгэлд бич, ингэснээр санаархал ажилтны солилцоог давах болно.

Үүнийг илүү том зөөврийн компьютер биш, хуваалцсан үйлчилгээ болгон ажиллуул

Туннель шинэчлэх, итгэмжлэлийн эргэлт, багтаамж, гарц солих бүгд одоо хуваалцсан үйлчилгээний өөрчлөлт болж, хувь компьютеруудад хэзээ ч шаардагдаагүй хуваарь, харилцааны зам шаардана. Бямба гарагт түншийн гэрчилгээ дуусах нь нэг хэрэглэгчийн тасалдал биш; тэр түншийн бүх сессийн тасалдал юм.

Түвшинг зөвхөн хориглосон түнш хоорондын хүсэлт яг төлөвлөсний дагуу бүтэлгүйтэж, зөвшөөрөгдсөн ажилтны хүсэлт зөв эх сурвалжтайгаар зөв очих газарт хүрэх үед хүлээн зөвшөөр. Зөөврийн компьютерийн зөрчилдийг арилгахын зэрэгцээ түнш бүрийн хил хязгаарыг хэвээр үлдээх нь бүх санаа; алслагдсан префикс бүр ажлын ширээ бүрээс хүрэх боломжтой дизайн нь асуудлыг зүгээр л зөөсөн.

Түнш, контекст, зөвшөөрөгдсөн хүрээ, хариуцагч гэсэн жижиг хүснэгт хөтөл. Хэрэг явдлын үед хамгийн түрүүнд үүнийг асуух болно.