Хоёр VPN зэрэг? Эхлээд төгсгөлийн цэгийн хил хязгаарыг тодорхойл

Зэрэг холбогдсон хоёр VPN клиент нэг төгсгөлийн цэгийг хоёр нөөцийн домэйнд оруулдаг бөгөөд энэ нь чиглүүлэлтийн асуудал болохоос өмнө эрх олголтын асуудал юм. Туннель шифрлэгдсэн байх нь тухайн зөөврийн компьютер дээрх програмууд хоёр сүлжээнд хоёуланд нь хүрэх ёстой эсэх, эсвэл нэг сүлжээний түнш нөгөөд нь түүгээр дамжин хүрэх ёстой эсэх талаар юу ч хэлэхгүй. Доорх шалгалтуудыг дарааллаар нь гүйцэтгэж, хэн ч хариулж чадахгүй эхний шалгалт дээр зогс. Тэдгээр хариултгүйгээр давхцлыг батлах нь тохиромжтой зохицуулалт чимээгүйгээр гүүр болох зам юм.

Бодит ажлаас эхэл: хүнд сүлжээ бүрт ямар нөөц хэрэгтэй, хоёр сүлжээний эзэн нэг төхөөрөмжөөс зэрэг нэвтрэхийг зөвшөөрч байна уу?

Давхцлыг хэн зөвшөөрч байгааг шалга

Нэг хэрэглэгчийг тус тусад нь баталгаажуулдаг хоёр сүлжээ ч тусдаа эзэнтэй хэвээр байх бөгөөд эдгээр эзэн өөр газарт холбогдсон төхөөрөмжийн талаар нийцэхгүй таамаглалтай байж болно. Ямар нэг зүйлийг зохион бүтээхээс өмнө хоёулаас нь асуу. Тусгаарлагдсан зөөврийн компьютерт зориулж бичсэн алсын хандалтын бодлого нь түншийн сүлжээний дотор зэрэг байгаа машинтай холбоотой хариултгүй байх нь олонтаа.

Хариултыг бичгээр авч өөрчлөлтийн бүртгэлтэй хамт хадгал. Нэг тал үгүй гэвэл энэ жагсаалтын үлдсэн хэсэг онолын шинжтэй бөгөөд чи дизайны хяналтаас өөрийгөө чөлөөлсөн.

Хоёр интерфейсийг чиглүүлэгч гэж бүү үз

Хоёр идэвхтэй интерфейс төхөөрөмжийг автоматаар чиглүүлэгч эсвэл Ethernet гүүр болгохгүй. Ямар нэг зүйлийг дамжуулалтын зам гэж нэрлэхээс өмнө дэмжигдсэн дамжуулалт, гүүр, NAT, прокси тохиргоог шалгаж, төхөөрөмжид аль хэдийн байгаа хамааралгүй зөвшөөрөгдсөн чиглүүлэлтийн үүргийг хадгал. Орон нутгийн контейнер сүлжээ эсвэл виртуалчлалын хост ажиллуулдаг зөөврийн компьютер энд төвийг сахисан ажиглагч биш.

Хэрэв шаардлага үнэхээр A-аас B руу дамжуулалт бол түүний байр эзэн, аудитад орох дүрмийн багц, өөрчлөлтийн процесс бүхий сүлжээний төхөөрөмж дээр. Ажлын станцаар санамсаргүйгээр хийх нь энэ шалгалт урьдчилан сэргийлэхээр оршдог үр дүн юм.

Төгсгөлийн цэгийг мөн хандалтын цэг гэж үз

Төхөөрөмж нь зөвхөн хоёр сүлжээний клиент биш; энэ нь үйлчилгээ санал болгодог хост юм. Тухайн машин дээрх зөвшөөрөгдсөн үйлчилгээ нь хост сүлжээний хана болон клиентийн бодлогын дагуу VPN түншээс хүрч болохоор байж болох тул зөөврийн компьютер дээрх нээлттэй удирдлагын порт одоо алсын сүлжээний халдлагын гадаргуугийн хэсэг болжээ. Замын талаар маргахаас өмнө юу сонсож байгааг жагсаа, учир нь нэг холбогдсон дибаг порт нь ямар ч туннелийн бодлогоос хүнд. Хост үйлчилгээг тэдний зориулсан эх сурвалж, зорилгоор хязгаарла.

Алсын сүлжээ бүрийг тодорхой зөвшөөрөл бүхий нөөцийн домэйн гэж үз, трафик шифрлэгдсэн ирсэн гэж өргөн итгэл бүү өг. NIST-ийн тэг итгэлийн архитектур нь нөөцийн эрх олголтыг сүлжээний байршилд хийх далд итгэлээс тусгаарладаг бөгөөд хоёр туннель бүхий зөөврийн компьютер яг энэ ялгааг бүдэгрүүлдэг.

Энд байхдаа бас нэг асуулт асуу: хэрэв орон нутгийн үйлчилгээ эсвэл зөвшөөрөгдсөн програм эвдэрвэл тэр тулгуураас ямар нөөц, итгэмжлэлд хүрэх боломжтой болох вэ? Хариултыг бич, учир нь энэ нь бүх дизайны жинхэнэ эрсдэлийн мэдэгдэл юм.

Аюулын загварт тохирох ажлын хил хязгаарыг сонго

Программ тус бүрийн чиглүүлэлт нь програмуудыг зориулсан туннельд оноож болох бөгөөд тусдаа ажлын профайл, хэрэглэгч эсвэл дэмжигдсэн виртуал ажлын талбар нь платформоос хамааран таних ба өгөгдлийн хил хязгаарыг нэмж болно. Хил хязгаарыг демотой бус аюулын загвартай нийцүүл: танихыг хуваахгүйгээр чиглүүлэлтийг хуваах нь нэг хөтчийн профайлыг хоёр сессээр үлдээсээр байна.

Сүлжээний нэрийн орон зай нь чиглүүлэлт болон сүлжээний төлөвийг тусгаарладаг; энэ нь файлын системийн бүх замыг, санах ойн самбар эсвэл итгэмжлэлийн агентыг тусгаарлахгүй. Виртуал машин эсвэл удирдлагатай профайл мөн санаатай хуваалцах, хост удирдлагын бодлогыг шаарддаг. Аль хавтас, баталгаажуулалтын туслах, хуулах буулгах зам нээлттэй үлдэж байгааг бич, учир нь хоёр домэйны хооронд өгөгдлийг үнэхээр зөөдөг суваг нь тэдгээр юм.

Дараалсан ажилд зориудын шилжилт нь зэрэг хандалтыг хадгалахаас ихэвчлэн энгийн. Хамааралтай үйлдлийг дуусгаад, дараагийн ажлын талбарын таних ба замыг шалга, харин арын хэрэгслийг тодорхойгүй нөхцөлд холбосон хэвээр бүү орхи.

Зөвшөөрлийг уриа биш, ажил болгон бич

Зөвшөөрлийн бүртгэл ажил шиг уншигдах ёстой: дэмжлэгийн ажлын талбар A сүлжээний үйлчилгээний консол болон B сүлжээний тасалбарын порталд хүрч болох боловч A-аас B руу зөвшөөрөгдсөн дамжуулалтгүй, хуваалцсан итгэмжлэлийн агентгүй, автомат файл синхрончлолгүй. Тэр өгүүлбэрийн хэсэг бүр таны тохируулж, туршиж болох зүйлтэй тохирч байна.

Дараа нь зөвхөн эерэг бус, сөрөг тохиолдлуудыг шалга. Хил хязгаараас гадуур байх ёстой нөөцөд хүрэхийг оролд, хост үйлчилгээ нөгөө талаас хариулахгүй байгааг батал, итгэмжлэлийн туслах хоёр домэйнд чимээгүйгээр үйлчлэхгүй байгааг шалга.

Бүртгэлийг зөвхөн тасалбарт бус, төхөөрөмжтэй хамт хадгал, ингэснээр энэ зохицуулалтыг өвлөж авах дараагийн хүн аль хил зориуд байсныг мэдэх болно. Хоёр туннель бүхий, бичмэл хилгүй зөөврийн компьютерыг буруу тохиргооноос ялгах боломжгүй.