Letakkan gerbang VPN di sebelah Windows XP, bukan di dalamnya

Di suatu tempat dalam bangunan itu ada mesin yang menjalankan aplikasi yang tiada siapa dapat menggantikan, pada sistem pengendalian yang tidak sepatutnya disambungkan kepada apa-apa. Berjalan keluar dari penyesuai rangkaian hos itu ialah cara terpantas untuk melihat di mana terowong sepatutnya berada. Dalam kebanyakan reka bentuk ia sama sekali tidak berada pada hos. Pindahkan satu langkah ke gerbang terpelihara, dan masalah lama mengecil kembali kepada aplikasi tempat ia bermula.

Mulakan pada penyesuai hos, bukan klien VPN

Buka sifat penyesuai dan beri hos alamat tetap pada segmen kecil khusus, dengan gerbang sebagai laluan lalainya. Hos kemudian tidak memerlukan klien terowong, kelayakan terowong atau entri jadual laluan ke rangkaian korporat yang lebih luas. Jika aplikasi memerlukan satu subnet jauh, tambah tepat satu laluan itu.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Perintah itu memakukan satu destinasi pada gerbang dan membiarkan semua yang lain tanpa laluan, dan itulah bentuk yang anda mahu. Sahkan hasilnya dengan route print daripada mempercayai kod keluar. Kemudian periksa sama ada aplikasi masih menyelesaikan nama pelayannya, kerana hos lama dengan penyelesai rosak kelihatan tepat seperti kegagalan rangkaian, dan membaiki penyelesai ialah kerja lima minit manakala membina semula aplikasi selepas perubahan rangkaian yang salah bukan. Setiap destinasi yang tidak dapat dicapai oleh hos ialah satu perkara kurang yang boleh dipujuk untuk diserang oleh tindanan rangkaian lama.

Letakkan terowong pada perkakasan yang boleh anda kemas kini

Gerbang mahu dua antara muka: satu menghadap segmen hos dan satu menghadap tempat aplikasi tinggal, dengan terowong berakhir pada yang kedua. Peranti itu boleh menerima kemas kini firmware, menggantikan konfigurasi kriptografinya dan merekod aliran tanpa sesiapa menyentuh mesin lama. Pembekalnya juga menghantar pembetulan untuk pelaksanaan terowong, yang tidak akan diterima oleh hos. Dua mesin dan satu tarikh akhir bukan alasan untuk menyalin resipi rahsia statik daripada catatan forum.

Beri setiap gerbang identiti rakan sebaya sendiri daripada mengklon satu konfigurasi klien ke seluruh armada. Apabila unit diganti, batalkan identiti lama pada saat yang sama anda membawa yang baharu dalam talian, atau anda akan berakhir dengan dua salinan tidak terkawal yang mengesahkan diri ke titik akhir yang sama. Simpan kunci di tempat satah pengurusan gerbang menjangkakannya, layan sandaran konfigurasi sebagai rahsia dan semak siapa yang boleh menolak konfigurasi itu, kerana ia kini menentukan apa yang boleh dicapai oleh hos lama.

Benarkan perkhidmatan, bukan rangkaian

Tulis dasar dari segi protokol, port dan arah antara dua sambungan. Satu port dibenarkan ke satu alamat aplikasi ialah jawapan biasa, dan laluan pentadbiran melalui hos lompat meliputi selebihnya.

Pentadbiran jauh hos lama tidak sepatutnya menunggang peraturan yang sama seperti aplikasi, dan menguji penolakan sama penting dengan menulis peraturan. Hantar satu permintaan dari hos ke destinasi yang anda jangkakan ditolak dan sahkan bahawa penolakan itu datang daripada dasar, bukan daripada laluan yang hilang. Rekod aliran yang anda benarkan semasa reka bentuk baharu, supaya anda melihat apa yang sebenarnya digunakan oleh aplikasi, bukan apa yang didakwa oleh dokumentasinya. Menggabungkan dua subnet kerana tutorial berjambatan kelihatan lebih singkat ialah cara segmen lama secara senyap menjadi pijakan.

Jangan dedahkan pendengar lama secara langsung kepada internet sebagai jalan pintas di sekeliling gerbang. Asingkan laluan pentadbiran daripada laluan aplikasi supaya kompromi satu tidak menyerahkan yang lain. Peraturan yang tidak pernah dilaksanakan ialah peraturan yang tiada siapa telah mengesahkan, sebab itu destinasi yang ditolak termasuk dalam larian penerimaan.

Pemulihan mesti berfungsi tanpa terowong

Putuskan siapa yang mengemas kini dan memulihkan gerbang sebelum gangguan pertama, dan pastikan orang itu boleh mencapainya tanpa terowong yang diakhirinya. Akses konsol, port pengurusan tempatan atau laluan luar jalur semuanya dikira sebagai jawapan. Gerbang yang hanya boleh dikonfigurasikan melalui terowong yang disediakannya ialah perangkap yang menunggu dengan sabar tolakan firmware yang buruk.

Tulis buku panduan untuk kegagalan yang benar-benar akan anda temui: terowong mati, gerbang mati, cakera hos hilang. Simpan imej pemulihan hos di bawah sebarang pengaturan sokongan yang masih wujud, dan ingat bahawa pemulihan juga memulihkan keadaan perisian dan kelayakan dalam imej itu. Pulihkan dahulu ke segmen terasing, sahkan aplikasi bermula dan hanya kemudian sambungkan semula apa-apa; apabila gerbang berubah, kemas kini buku panduan dan inventori dalam sesi yang sama.

Sijil, jam dan amaran tandatangan

Tamat tempoh sijil pemasang tidak dengan sendirinya meramalkan apa yang akan dikatakan oleh pemeriksaan tandatangan hari ini. Panduan Microsoft tentang cap masa Authenticode menjelaskan bahawa cap masa boleh mengekalkan tandatangan boleh disahkan selepas sijil penandatangan tamat tempoh, dan pengesahan masih bergantung pada tandatangan, rantai kepercayaan dan pengesah yang melakukan kerja itu. Dua mesin dengan kedai kepercayaan berbeza boleh berselisih tentang fail yang sama. Penandatangan yang tamat tempoh bukan bukti bahawa binari itu berniat jahat, dan tandatangan yang sah bukan bukti bahawa perisian itu diselenggara.

Jangan undurkan jam sistem atau matikan pemeriksaan tandatangan untuk membuat pemasang lama berjalan. Dapatkan artifak dibenarkan daripada sesiapa yang masih menyokong aplikasi itu dan biarkan mereka mengatakan apa yang diterima oleh platform. Layan catatan yang mendakwa binaan tertentu ialah yang terakhir untuk XP sebagai sejarah, bukan sasaran pemasangan, kerana keperluan sebenar bergantung pada aplikasi; jika kerja pemeliharaan benar-benar diperlukan, simpannya pada segmen terasing jauh daripada akses pengeluaran dan dokumentasikan mengapa ia wujud.