PPP-д суурилсан VPN-ээс түүний таамаглалыг хуулахгүйгээр шилжих

VPN шилжилт нь хэрэглэгчид, очих газрууд, нэрийн шийдэл болон алдааны үед хийх зан төлөв бүгд зөв хэвээр байх үед дуусдаг, шинэ клиент ногоон дүрс харуулах үед биш. Хуучин PPP-д суурилсан байршуулалтууд хэзээ ч бичигдээгүй таамаглалыг агуулдаг: цорын ганц таних шалгалт байсан хуваалцсан нууц, галт хана зөвшөөрсөн жагсаалтад байлгадаг тогтмол хаягийн сан, серверийн илгээдэг DNS дагавар. Эдгээр таамаглалыг бүртгэхгүйгээр протоколыг сольсон нь гар барилтыг гүйцэтгэдэг туннель болон оршихгүй хил хязгаарыг бий болгодог. Доорх дараалал бол миний хэрэглэдэг дараалал бөгөөд сүүлийн алхам нь багууд алгасдаг алхам юм.

1-р алхам: хуучин холболт юу өгдөгийг бүртгэ

Бүртгэлийг санахгүй, бичдэг. Дэмжигдсэн клиентүүд, баталгаажуулалтын үүргүүд, хаягийн сангууд, хамгаалагдсан сүлжээнүүд, DNS шаардлагууд болон хэрэглэгчийн бүлэг бүрд хэрэгтэй үйлчилгээний зөвшөөрлүүдийг бичнэ үү.

L2TP/IPsec-ийн хувьд хоёр давхаргыг тодорхой салгана уу. IPsec түншийн таних тэмдэг машинуудыг баталгаажуулдаг; PPP хэрэглэгчийг баталгаажуулдаг, ихэвчлэн CHAP эсвэл MSCHAPv2 ашигладаг.

Хуучин байршуулалтууд таамаглалаа яг энэ салгалтад нуудаг. Клиент бүрийн хуваалцдаг урьдчилан хуваалцсан түлхүүр төхөөрөмжийг бус бүлгийг баталгаажуулдаг, ихэнхдээ энэ нь хэзээ нэгэн цагт солигдсон цорын ганц зүйл юм. Хэрэв PPP бүртгэл нь хэрэглэгч тус бүрийн жинхэнэ хяналт бол түүнийгээ хэлээрэй, учир нь орлуулагч тэр хяналтыг хуваалцсан мөр биш зүйлээр дахин бүтээх ёстой. Тогтмол эх хаяг болон локал сүлжээний үл хамаарах зүйлсийг ч бичээрэй, учир нь эдгээр нь эвдрэх хүртэл хэн ч баримтжуулдаггүй хамаарлууд юм.

2-р алхам: орлуулагчийг зориуд төлөвлө

Орлуулагчийг сонгох нь шаардлага бүрээр буулгах ажиллагаа: байгууллагын дэмждэг протокол ба арчилгаатай клиент, таних тэмдэг ба хандалтын шаардлага бүр бодит механизмд буудаг. Хуваалцсан нууц автоматаар төхөөрөмж бүрийн түлхүүр эсвэл гэрчилгээнд тэнцэхгүй, хэрэглэгч тус бүрийн PPP бүртгэл төхөөрөмжийн гэрчилгээнд тэнцэхгүй.

Хаягийн мужийг бусдаас өмнө зохицуулна уу, учир нь гэр эсвэл оффисын LAN-тай давхцдаг орлуулах сан нь шифрийн хүчээс хамааралгүй эвдрэл үүсгэдэг. Санг хуучин үйлчилгээнд зориулж бүтээсэн ижил жагсаалт болон шинэ клиентийн анхдагчаар таамаглаж буй зүйлтэй харьцуулна уу. Хамгаалагдсан сүлжээний буцах маршрутлалыг баталгаажуулж, шинэ клиент хуучин нь илгээдэг байсан DNS дагаврыг илгээх эсвэл баримтжуулж чадахыг баталгаажуулна уу. Эдгээр хоёр зүйл протоколын өөрчлөлтөөс илүү шилжилтийн тасалбар үүсгэдэг.

3-р алхам: үе шаттай нэвтрүүлж, зөвшөөрөл ба хориг хоёуланг нь шалга

Нэг төлөөлөгч хэрэглэгч, нэг төлөөлөгч програмын хамт нэвтрүүлнэ үү. Шалгалтад хувийн DNS шийдлийг оруулна уу, учир нь хаягт хүрдэг ч дотоод нэрийг шийдэж чаддаггүй туннель хагас л шилжсэн байдаг. Хүлээгдэж буй хүрэхгүй байдлын төлөвийг ч оруулна уу: туннель унахад юу болох ёстой, клиент үүнийг хэрэгжүүлдэг эсэх.

Дараа нь хоригтой хэвээр байх ёстой очих газрыг шалгана уу. Өргөн түр зуурын зөвшөөрлийн дүрэм шинэ туннелийг эрүүл харагдуулж, харин хуучин үйлчилгээний хэрэгжүүлдэг байсан эрх олгох хил хязгаарыг чимээгүй арилгаж болзошгүй бөгөөд аудит хүртэл хэн ч анзаардаггүй. Ижил клиентээс, ижил сесс дээр зөвшөөрөл ба хоригийн үр дүнг хажуу хажуугаар харьцуулна уу. Хоёр багана төлөвлөгөөтэй нийцэх хүртэл хуучин үйлчилгээг ажиллуулж байгаарай.

Администраторын хандалтыг зөөхөөс өмнө өөрчилж буй туннелиас хамааралгүй зөвшөөрөгдсөн сэргээх зам байгаа эсэхийг баталгаажуулна уу.

4-р алхам: хуучин таних тэмдгийг тат

Хуучин таних тэмдгийг зөв татах гэдэг нь хуучирсан хэрэглэгчид болон төхөөрөмжийн итгэмжлэлийг эзэмшиж буй үйлчилгээгээр цуцалж, дараа нь хамаарал үлдэхгүй үед хуучин профайл болон сонсогчдыг устгахыг хэлнэ. Локал файлыг устгах нь өөр газар байгаа хуулбарыг цуцалдаггүй, хуучин хуваалцсан нууцыг хүлээн авч байгаа хуучин сонсогч бол хяналтгүй хаалга юм.

Энэ цэг дээр удаашрах нь үнэ цэнэтэй. Зөөврийн компьютер дээрх цуцалсан клиент профайл нь цуцлагдсан итгэмжлэл биш; итгэмжлэл сервер дээр амьдардаг бөгөөд сервер хүлээн авахаа болих хүртэл хүчинтэй хэвээр байна. Хуучин тохиргооны бусад хуулбарыг хайна уу — туршилтын төхөөрөмж, мартагдсан утас, хэн нэгний хадгалсан суулгагч — мөн сонсогчийг унтраахыг хуучин үйлчилгээ үнэхээр дуусах мөч гэж үзээрэй. Тэр хүртэл шилжилт хоёр урд хаалгатай байна.

Хүлээн авалтын бүртгэл бол эхний алхмын бүртгэл дээр нэмсэн багана: шинэ төлөвлөгөө мөр бүрд юу хийдэг, та үүнийг хэрхэн шалгасан. Энэ нь протоколын шинэчлэлийг нотолгоотой үйлчилгээний шаардлага болгоно.

Үр дүнг протоколын нэрэнд бус үйлчилгээнд хэрэгтэй зүйлд холбож байгаарай, учир нь хуучин таамаглалыг хуулсан орчин үеийн протокол нь илүү сайн хүрээтэй ижил эрсдэл юм. RFC 3193 нь L2TP-г IPsec дээгүүр хэрхэн зөөдгийг тайлбарладаг бөгөөд энэ нь хоёр давхарга үргэлж тусдаа шийдвэр байсныг сануулдаг. Хэрэв бүртгэлд тайлбарлаж чадахгүй мөр байвал зогсоод юу түүнээс хамааралтайг олж мэдээрэй. Жагсаалт уйтгартай болоход шилжилт дуусдаг.