Set VPN-gatewayen ved sida av Windows XP, ikkje inni det

Ein stad i bygget står ein maskin som køyrer ein applikasjon ingen kan erstatta, på eit operativsystem ingen bør kopla til noko. Å gå utover frå nettverksadapteren på den verten er den raskaste måten å sjå kvar tunnelen høyrer heime. I dei fleste design høyrer han ikkje til på verten i det heile. Flytt han eitt hopp unna til ein vedlikehalden gateway, og det gamle problemet krympar tilbake til applikasjonen det byrja som.

Start ved adapteren til verten, ikkje ved ein VPN-klient

Opne adaptereigenskapane og gje verten ei fast adresse på eit lite dedikert segment, med gatewayen som standardrute. Verten treng då korkje tunnelklient, tunneltilgang eller rutingtabelloppføringar inn i det breiare bedriftsnettet. Viss applikasjonen treng eitt eksternt subnett, legg til nøyaktig den eine ruta.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Den kommandoen festar éin destinasjon til gatewayen og lèt alt anna vera urutbart, og det er forma du vil ha. Stadfest resultatet med route print i staden for å stola på avslutningskoden. Kontroller deretter at applikasjonen framleis løyser opp servernamnet sitt, for ein gammal vert med øydelagd resolver ser nøyaktig ut som ein nettverksfeil, og å reparera resolveren er ein femminuttsjobb medan å byggja ein applikasjon på nytt etter ei feil nettverksendring ikkje er det. Kvar destinasjon verten ikkje når, er éin ting mindre ein gammal nettverksstakk kan lurer til å angripa.

Set tunnelen på maskinvare du kan oppdatera

Gatewayen vil ha to grensesnitt: eitt mot vertssegmentet og eitt mot staden der applikasjonen bur, med tunnelen som endar på det andre. Den eininga kan ta fastvareoppdateringar, byta kryptografisk konfigurasjon og logga flytar utan at nokon rører den gamle maskinen. Leverandøren leverer også rettingar for tunnelimplementasjonen, som verten aldri vil få. To maskinar og ein frist er ikkje grunn til å kopiera ei oppskrift med statisk løyndom frå eit foruminnlegg.

Gje kvar gateway sin eigen peer-identitet i staden for å klona éin klientkonfigurasjon over ein heil flåte. Når ei eining blir bytt, trekk tilbake den gamle identiteten i same augneblink som du set den nye i drift, elles sit du att med to ukontrollerte kopiar som autentiserer mot same endepunkt. Lagre nøklane der administrasjonsplanet til gatewayen ventar dei, handsame ein sikkerheitskopi av konfigurasjonen som ein løyndom og gå gjennom kven som kan skyva den konfigurasjonen, for han avgjer no kva den gamle verten kan nå.

Tillat tenester, ikkje nettverk

Skriv policyen i form av protokoll, port og retning mellom dei to tilkoplingane. Éin tillaten port til éin applikasjonsadresse er det vanlege svaret, og ein administrativ veg gjennom ein hoppvert dekkjer resten.

Fjernadministrasjon av den gamle verten bør ikkje gå på same regel som applikasjonen, og å testa avvisinga er like viktig som å skriva regelen. Send éin førespurnad frå verten til ein destinasjon du ventar blir avvist, og stadfest at avvisinga kjem frå policyen og ikkje frå ei manglande rute. Logg flytane du tillèt medan designet er nytt, så du ser kva applikasjonen faktisk brukar og ikkje kva dokumentasjonen hevdar. Å slå saman to subnett fordi ein brua rettleiding såg kortare ut, er måten eit gammalt segment stille blir eit springbrett.

Ikkje eksponer den gamle lyttaren direkte mot internett som ein snareveg rundt gatewayen. Hald den administrative vegen skild frå applikasjonsvegen, så kompromittering av den eine ikkje overleverer den andre. Ein regel som aldri blir utøvd, er ein regel ingen har verifisert, og difor høyrer den avviste destinasjonen heime i akseptkøyringa.

Gjenoppretting må fungera utan tunnelen

Avgjer kven som oppdaterer og gjenopprettar gatewayen før den første avbrotet, og sørg for at den personen kan nå han utan tunnelen han avsluttar. Konsolltilgang, ein lokal administrasjonsport eller ein out-of-band-veg tel alle som svar. Ein gateway som berre kan konfigurerast gjennom tunnelen han leverer, er ei felle som tolmodig ventar på ein dårleg fastvareoverføring.

Skriv runboka for feilen du faktisk vil møta: tunnel nede, gateway død, vertsdisk borte. Hald gjenopprettingsbildet av verten under kva som helst støtteordning som framleis finst, og hugs at ein gjenoppretting også gjenopprettar programtilstanden og tilgangsopplysningane i bildet. Gjenopprett først til det isolerte segmentet, stadfest at applikasjonen startar, og kople først deretter til noko att; når gatewayen blir endra, oppdater runboka og inventaret i same økta.

Sertifikat, klokker og signaturvarsel

Utløpet av installasjonsprogrammet sitt sertifikat føresegar ikkje i seg sjølv kva ein signaturkontroll vil seia i dag. Rettleiinga frå Microsoft om Authenticode-tidsstempel forklarar at eit tidsstempel kan halda ein signatur verifiserbar etter at signeringssertifikatet går ut, og at validering framleis avheng av signaturen, tillitskjeda og verifikatøren som gjer jobben. To maskinar med ulike tillitslager kan difor vera usamde om same fil. Ein utløpen signerar er ikkje prov for at ein binærfil er vondsinna, og ein gyldig signatur er ikkje prov for at programvara blir vedlikehalden.

Ikkje flytt systemklokka bakover og ikkje slå av signaturkontrollar for å få eit gammalt installasjonsprogram til å køyra. Skaff eit autorisert artefakt frå den som framleis støttar applikasjonen, og la dei seia kva plattforma godtek. Handsam innlegg som hevdar at ein bestemd build var den siste for XP, som historie og ikkje som installasjonsmål, fordi det verkelege kravet avheng av applikasjonen; viss bevaringsarbeid verkeleg er naudsynt, hald det på eit isolert segment langt frå produksjonstilgang og dokumenter kvifor det finst.