Twee VPN's tegelijk? Bepaal eerst de grens van het eindpunt

Twee gelijktijdig verbonden VPN-clients plaatsen één eindpunt in twee brondomeinen, en dat is een autorisatievraag voordat het een routeringsvraag is. Dat de tunnels versleuteld zijn, zegt niets over de vraag of de toepassingen op die laptop beide netwerken moeten kunnen bereiken, of dat een peer van het ene netwerk via die laptop het andere moet kunnen bereiken. Doorloop de onderstaande controles in volgorde en stop bij de eerste die niemand kan beantwoorden. De overlap goedkeuren zonder die antwoorden is hoe een handige regeling stilzwijgend een brug wordt.

Begin bij het werkelijke werk: welke bronnen in elk netwerk heeft de persoon nodig, en staan beide netwerkeigenaren gelijktijdige toegang vanaf één apparaat toe?

Controleer wie de overlap toestaat

Twee netwerken die elk dezelfde gebruiker authenticeren, hebben nog steeds aparte eigenaren, en die eigenaren kunnen onverenigbare aannames hebben over apparaten die ook elders zijn aangesloten. Vraag het beide voordat je iets ontwerpt. Een beleid voor toegang op afstand dat voor geïsoleerde laptops is geschreven, heeft vaak helemaal geen antwoord voor een machine die tegelijkertijd binnen een partnernetwerk staat.

Krijg het antwoord schriftelijk en bewaar het bij het wijzigingsrecord. Als één kant nee zegt, is de rest van deze lijst academisch, en heb je jezelf een ontwerpbeoordeling bespaard.

Behandel twee interfaces niet als een router

Twee actieve interfaces maken het apparaat niet automatisch een router of een Ethernet-brug. Controleer de ondersteunde configuratie voor doorsturen, bridging, NAT en proxy voordat je iets als een transitzijde beschrijft, en behoud eventuele niet-gerelateerde geautoriseerde routeringstaken die het apparaat al heeft. Een laptop met een lokaal containernetwerk of een virtualisatiehost is hier geen neutrale waarnemer.

Als de eis echt een doorgang van A naar B is, hoort die op een netwerkapparaat met een eigenaar, een controleerbare regelset en een wijzigingsproces. Het per ongeluk via een werkstation doen is precies het resultaat dat deze controle moet voorkomen.

Behandel het eindpunt ook als toegangspunt

Het apparaat is niet alleen een client van beide netwerken; het is een host die diensten aanbiedt. Een toegestane dienst op die machine kan bereikbaar zijn vanaf een VPN-peer volgens de firewall van de host en het clientbeleid, dus een open beheerpoort op de laptop maakt nu deel uit van het aanvalsoppervlak van het externe netwerk. Inventariseer wat er luistert voordat je over routes discussieert, want één gebonden debugpoort weegt zwaarder dan welk tunnelbeleid dan ook. Houd hostdiensten beperkt tot hun bedoelde bronnen en doelen.

Behandel elk extern netwerk als een brondomein met expliciete rechten in plaats van breed vertrouwen te geven omdat het verkeer versleuteld aankwam. De zero-trustarchitectuur van NIST scheidt de autorisatie van bronnen van impliciet vertrouwen in de netwerklocatie, en dat is precies het onderscheid dat een laptop met twee tunnels vervaagt.

Stel nog één vraag nu je hier bent: als een lokale dienst of een geautoriseerde toepassing werd gecompromitteerd, welke bronnen en inloggegevens zouden dan bereikbaar worden vanaf dat steunpunt? Schrijf het antwoord op, want dat is de echte risicoverklaring voor het hele ontwerp.

Kies de werkgrens die bij het dreigingsmodel past

Routering per toepassing kan programma's aan de bedoelde tunnels toewijzen, en aparte werkprofielen, gebruikers of ondersteunde virtuele werkruimten kunnen identiteits- en datagrenzen toevoegen, afhankelijk van het platform. Stem de grens af op het dreigingsmodel en niet op de demo: een routeringssplitsing zonder identiteitssplitsing laat nog steeds één browserprofiel beide sessies vasthouden.

Een netwerknaamruimte isoleert routering en netwerkstatus; hij isoleert niet elk bestandssysteempad, het klembord of de inloggegevensagent. Een virtuele machine of een beheerd profiel vereist eveneens een bewust deel- en hostbeheerbeleid. Noteer welke mappen, authenticatiehulpmiddelen en kopieer- en plakpaden beschikbaar blijven, want dat zijn de kanalen die daadwerkelijk gegevens tussen de twee domeinen dragen.

Voor opeenvolgend werk is een bewuste omschakeling meestal eenvoudiger dan gelijktijdige toegang behouden. Rond de afhankelijke bewerking af en verifieer daarna de identiteit en route van de volgende werkruimte in plaats van achtergrondhulpmiddelen aan een onduidelijke context gekoppeld te laten.

Schrijf de goedkeuring als een taak, niet als een slogan

Een goedkeuringsrecord zou als een taak moeten lezen: de ondersteuningswerkruimte mag de dienstenconsole van Netwerk A en het ticketportaal van Netwerk B bereiken, zonder geautoriseerde doorsturing van A naar B, zonder gedeelde inloggegevensagent en zonder automatische bestandssynchronisatie. Elke clausule in die zin komt overeen met iets dat u kunt configureren en testen.

Controleer daarna de negatieve gevallen, niet alleen de positieve. Probeer een bron te bereiken die buiten de grens zou moeten liggen, bevestig dat de hostdienst niet vanaf de andere kant antwoordt, en controleer dat de inloggegevenshelper niet stilzwijgend beide domeinen bedient.

Bewaar het record bij het apparaat, niet alleen in de ticket, zodat de volgende persoon die de regeling erft weet welke grens bewust was. Een laptop met twee tunnels en zonder schriftelijke grens is niet te onderscheiden van een verkeerde configuratie.