Żewġ VPN f'daqqa? L-ewwel iddefinixxi l-fruntiera tal-punt tat-tmiem

Żewġ klijenti VPN konnessi f'daqqa jqiegħdu punt tat-tmiem wieħed f'żewġ oqsma ta' riżorsi, u din hija kwistjoni ta' awtorizzazzjoni qabel ma tkun kwistjoni ta' ruttar. Il-fatt li t-tunnelli huma kkriptati ma jgħid xejn dwar jekk l-applikazzjonijiet fuq dak il-laptop għandhomx jilħqu ż-żewġ netwerks, jew jekk sieħeb ta' netwerk wieħed għandux jilħaq l-ieħor permezz tiegħu. Ipproċedi bil-verifiki hawn taħt fl-ordni u waqaf fl-ewwel wieħed li ħadd ma jista' jwieġeb għalih. L-approvazzjoni tas-sovrappożizzjoni mingħajr dawk it-tweġibiet hija l-mod kif arranġament konvenjenti bil-kwiet isir pont.

Ibda mix-xogħol veru: liema riżorsi f'kull netwerk għandu bżonn il-persuna, u ż-żewġ sidien tan-netwerks jippermettu aċċess simultanju minn apparat wieħed?

Ivverifika min jippermetti s-sovrappożizzjoni

Żewġ netwerks li kull wieħed jawtentika l-istess utent għad għandhom sidien separati, u dawk is-sidien jista' jkollhom suppożizzjonijiet inkonsistenti dwar apparati li huma wkoll konnessi band'oħra. Staqsi lit-tnejn qabel ma tiddisinja xejn. Politika ta' aċċess mill-bogħod miktuba għal laptops iżolati spiss m'għandhiex tweġiba għal magna li fl-istess ħin tinsab ġewwa netwerk ta' sieħeb.

Ikseb it-tweġiba bil-miktub u żommha mar-rekord tal-bidla. Jekk naħa tgħid le, il-bqija ta' din il-lista hija akkademika, u ffrankajt reviżjoni tad-disinn għalik innifsek.

Tittrattax żewġ interfaces bħala router

Żewġ interfaces attivi ma jagħmlux l-apparat router jew pont Ethernet awtomatikament. Ivverifika l-konfigurazzjoni appoġġjata tal-forwarding, tal-pont, tan-NAT u tal-proxy qabel ma tiddeskrivi xi ħaġa bħala mogħdija ta' transitu, u ppreserva kwalunkwe dmirijiet ta' ruttar awtorizzati mhux relatati li l-apparat diġà għandu. Laptop li jħaddem netwerk ta' containers lokali jew host ta' virtualizzazzjoni mhuwiex osservatur newtrali hawn.

Jekk il-ħtieġa hija tassew transitu minn A għal B, dan jappartjeni lil apparat tan-netwerk b'sid, sett ta' regoli verifikabbli u proċess ta' bidla. Li tagħmlu b'aċċident permezz ta' workstation huwa r-riżultat li dan il-verifika jeżisti biex jipprevjeni.

Ittratta l-punt tat-tmiem bħala punt ta' aċċess ukoll

L-apparat mhuwiex biss klijent taż-żewġ netwerks; huwa host li joffri servizzi. Servizz permess fuq dik il-magna jista' jkun aċċessibbli minn sieħeb VPN skont il-firewall tal-host u l-politika tal-klijent, għalhekk port ta' ġestjoni espost fuq il-laptop issa huwa parti mill-wiċċ ta' attakk tan-netwerk mill-bogħod. Elenka x'qed jisma' qabel ma targumenta dwar rotot, għax port ta' debug marbut wieħed jiżen iktar minn kwalunkwe politika tat-tunnell. Żomm is-servizzi tal-host limitati għas-sorsi u l-iskopijiet maħsuba tagħhom.

Ittratta kull netwerk mill-bogħod bħala qasam ta' riżorsi b'permessi espliċiti minflok tagħti fiduċja wiesgħa għax it-traffiku wasal ikkriptat. L-arkitettura ta' fiduċja żero ta' NIST tissepara l-awtorizzazzjoni tar-riżorsi mill-fiduċja impliċita fil-post tan-netwerk, u dan huwa eżattament id-distinzjoni li laptop b'żewġ tunnelli jċajpar.

Staqsi mistoqsija oħra waqt li int hawn: jekk servizz lokali jew applikazzjoni awtorizzata tiġi kompromessa, liema riżorsi u kredenzjali jsiru aċċessibbli minn dak il-punt ta' appoġġ? Ikteb it-tweġiba, għax hija d-dikjarazzjoni vera tar-riskju għad-disinn kollu.

Agħżel il-fruntiera tax-xogħol li taqbel mal-mudell tat-theddid

Ir-ruttar skont l-applikazzjoni jista' jassenja programmi lit-tunnelli maħsuba, u profili tax-xogħol, utenti jew spazji tax-xogħol virtwali appoġġjati jistgħu jżidu fruntieri tal-identità u tad-data skont il-pjattaforma. Qabbel il-fruntiera mal-mudell tat-theddid mhux mad-dimostrazzjoni: separazzjoni tar-ruttar mingħajr separazzjoni tal-identità xorta tħalli profil wieħed tal-browser jżomm iż-żewġ sessjonijiet.

In-namespace tan-netwerk jiżola r-ruttar u l-istat tan-netwerk; ma jiżolax kull mogħdija tas-sistema tal-fajls, il-clipboard jew l-aġent tal-kredenzjali. Magna virtwali jew profil ġestit bl-istess mod jeħtieġu politika maħsuba ta' kondiviżjoni u amministrazzjoni tal-host. Irrekordja liema folders, assistenti tal-awtentikazzjoni u mogħdijiet tal-kopja u l-paste jibqgħu disponibbli, għax dawk huma l-kanali li tassew iġorru d-data bejn iż-żewġ oqsma.

Għal xogħol sekwenzjali, qlib intenzjonat normalment huwa sempliċi iktar milli żżomm aċċess simultanju. Lesti l-operazzjoni dipendenti u mbagħad ivverifika l-identità u r-rotta tal-ispazju tax-xogħol li jmiss minflok ma tħalli għodda tal-isfond marbuta ma' kuntest ambigwu.

Ikteb l-approvazzjoni bħala kompitu, mhux slogan

Rekord tal-approvazzjoni għandu jinqara bħala kompitu: l-ispazju tax-xogħol tal-appoġġ jista' jilħaq il-console tas-servizzi tan-Netwerk A u l-portal tat-tickets tan-Netwerk B, mingħajr forwarding awtorizzat minn A għal B, mingħajr aġent tal-kredenzjali kondiviż u mingħajr sinkronizzazzjoni awtomatika tal-fajls. Kull klawżola f'dik is-sentenza tikkorrispondi għal xi ħaġa li tista' tikkonfigura u tittestja.

Imbagħad ivverifika l-każijiet negattivi, mhux biss dawk pożittivi. Ipprova jilħaq riżorsa li għandha tkun barra l-fruntiera, ikkonferma li s-servizz tal-host mhux qed iwieġeb min-naħa l-oħra, u ċċekkja li l-assistent tal-kredenzjali mhux qed iservi bil-kwiet iż-żewġ oqsma.

Żomm ir-rekord mal-apparat, mhux biss fil-ticket, sabiex il-persuna li jmiss li tiret l-arranġament tkun taf liema fruntiera kienet intenzjonata. Laptop b'żewġ tunnelli u mingħajr fruntiera miktuba ma jistax jingħaraf minn konfigurazzjoni ħażina.