Dua VPN sekali gus? Tentukan dahulu sempadan titik akhir

Dua klien VPN yang disambung sekali gus meletakkan satu titik akhir dalam dua domain sumber, dan ini persoalan kebenaran sebelum ia persoalan penghalaan. Terowong yang disulitkan tidak memberitahu apa-apa tentang sama ada aplikasi pada komputer riba itu patut mencapai kedua-dua rangkaian, atau sama ada rakan satu rangkaian patut mencapai rangkaian lain melaluinya. Lakukan pemeriksaan di bawah mengikut urutan dan berhenti pada yang pertama yang tiada sesiapa dapat menjawab. Meluluskan pertindihan tanpa jawapan itu ialah cara susunan yang mudah diam-diam menjadi jambatan.

Mulakan dengan kerja sebenar: sumber mana dalam setiap rangkaian yang diperlukan oleh orang itu, dan adakah kedua-dua pemilik rangkaian membenarkan akses serentak daripada satu peranti?

Periksa siapa yang membenarkan pertindihan itu

Dua rangkaian yang masing-masing mengesahkan pengguna yang sama masih mempunyai pemilik berasingan, dan pemilik itu mungkin mempunyai andaian tidak serasi tentang peranti yang turut disambung di tempat lain. Tanya kedua-duanya sebelum mereka bentuk apa-apa. Dasar akses jauh yang ditulis untuk komputer riba terasing selalunya tidak mempunyai sebarang jawapan untuk mesin yang serentak berada dalam rangkaian rakan kongsi.

Dapatkan jawapan secara bertulis dan simpan bersama rekod perubahan. Jika satu pihak menolak, seluruh senarai ini menjadi akademik, dan anda telah menjimatkan satu semakan reka bentuk.

Jangan layan dua antara muka sebagai penghala

Dua antara muka aktif tidak menjadikan peranti itu penghala atau jambatan Ethernet secara automatik. Periksa konfigurasi pemajuan, penjambatan, NAT dan proksi yang disokong sebelum menyifatkan apa-apa sebagai laluan transit, dan kekalkan sebarang tugas penghalaan sah yang tidak berkaitan yang sudah dimiliki peranti. Komputer riba yang menjalankan rangkaian kontena setempat atau hos virtualisasi bukan pemerhati neutral di sini.

Jika keperluan itu benar-benar transit dari A ke B, ia tergolong pada peranti rangkaian dengan pemilik, set peraturan yang boleh diaudit dan proses perubahan. Melakukannya secara tidak sengaja melalui stesen kerja ialah hasil yang wujudnya pemeriksaan ini untuk menghalang.

Layan titik akhir sebagai titik akses juga

Peranti itu bukan hanya klien kedua-dua rangkaian; ia hos yang menawarkan perkhidmatan. Perkhidmatan yang dibenarkan pada mesin itu mungkin boleh dicapai daripada rakan VPN mengikut tembok api hos dan dasar klien, jadi port pengurusan yang terbuka pada komputer riba kini sebahagian daripada permukaan serangan rangkaian jauh. Senaraikan apa yang mendengar sebelum berhujah tentang laluan, kerana satu port nyahpepijat terikat lebih berat daripada mana-mana dasar terowong. Hadkan perkhidmatan hos kepada sumber dan tujuan yang dimaksudkan.

Layan setiap rangkaian jauh sebagai domain sumber dengan kebenaran jelas dan bukannya memberi kepercayaan luas kerana trafik tiba dalam keadaan disulitkan. Seni bina kepercayaan sifar NIST memisahkan kebenaran sumber daripada kepercayaan tersirat pada lokasi rangkaian, dan itulah tepatnya perbezaan yang dikaburkan oleh komputer riba dua terowong.

Tanya satu lagi soalan sementara anda di sini: jika perkhidmatan setempat atau aplikasi sah terjejas, sumber dan kelayakan mana yang akan boleh dicapai daripada pijakan itu? Tuliskan jawapannya, kerana itulah pernyataan risiko sebenar untuk seluruh reka bentuk.

Pilih sempadan kerja yang sesuai dengan model ancaman

Penghalaan setiap aplikasi boleh menetapkan program kepada terowong yang dimaksudkan, dan profil kerja, pengguna atau ruang kerja maya yang disokong boleh menambah sempadan identiti dan data bergantung pada platform. Padankan sempadan itu dengan model ancaman, bukan dengan demo: pemisahan penghalaan tanpa pemisahan identiti masih meninggalkan satu profil pelayar memegang kedua-dua sesi.

Ruang nama rangkaian mengasingkan penghalaan dan keadaan rangkaian; ia tidak mengasingkan setiap laluan sistem fail, papan keratan atau agen kelayakan. Mesin maya atau profil terurus juga memerlukan dasar perkongsian dan pentadbiran hos yang sengaja dirancang. Catatkan folder, pembantu pengesahan dan laluan salin-tampal yang masih tersedia, kerana itulah saluran yang benar-benar membawa data antara dua domain.

Untuk kerja berurutan, pertukaran yang disengajakan biasanya lebih mudah daripada mengekalkan akses serentak. Selesaikan operasi yang bergantung, kemudian sahkan identiti dan laluan ruang kerja seterusnya daripada membiarkan alat latar belakang terikat pada konteks yang kabur.

Tulis kelulusan sebagai tugas, bukan cogan kata

Rekod kelulusan sepatutnya terbaca seperti tugas: ruang kerja sokongan boleh mencapai konsol perkhidmatan Rangkaian A dan portal tiket Rangkaian B, tanpa pemajuan sah dari A ke B, tanpa agen kelayakan dikongsi dan tanpa penyegerakan fail automatik. Setiap fasal dalam ayat itu sepadan dengan sesuatu yang boleh anda konfigurasi dan uji.

Kemudian sahkan kes negatif, bukan hanya yang positif. Cuba capai sumber yang sepatutnya di luar sempadan, sahkan perkhidmatan hos tidak menjawab dari sebelah sana, dan periksa bahawa pembantu kelayakan tidak secara senyap melayani kedua-dua domain.

Simpan rekod bersama peranti, bukan hanya dalam tiket, supaya orang seterusnya yang mewarisi susunan itu tahu sempadan mana yang disengajakan. Komputer riba dengan dua terowong dan tanpa sempadan bertulis tidak dapat dibezakan daripada salah konfigurasi.