Dwa VPN-y naraz? Najpierw określ granicę punktu końcowego

Dwa jednocześnie połączone klienty VPN umieszczają jeden punkt końcowy w dwóch domenach zasobów, a to jest kwestia autoryzacji, zanim staje się kwestią routingu. To, że tunele są szyfrowane, nie mówi nic o tym, czy aplikacje na tym laptopie powinny docierać do obu sieci, ani czy partner jednej sieci powinien docierać przez niego do drugiej. Przejdź przez poniższe kontrole po kolei i zatrzymaj się na pierwszej, na którą nikt nie potrafi odpowiedzieć. Zatwierdzenie nakładania się bez tych odpowiedzi to droga, na której wygodny układ po cichu staje się mostem.

Zacznij od rzeczywistej pracy: jakich zasobów w każdej sieci potrzebuje dana osoba i czy obaj właściciele sieci pozwalają na jednoczesny dostęp z jednego urządzenia?

Sprawdź, kto pozwala na nakładanie się

Dwie sieci, z których każda uwierzytelnia tego samego użytkownika, nadal mają odrębnych właścicieli, a ci właściciele mogą mieć niekompatybilne założenia o urządzeniach podłączonych również gdzie indziej. Zapytaj obu, zanim cokolwiek zaprojektujesz. Polityka dostępu zdalnego napisana dla izolowanych laptopów często nie ma żadnej odpowiedzi dla maszyny, która jednocześnie znajduje się w sieci partnera.

Uzyskaj odpowiedź na piśmie i zachowaj ją wraz z zapisem zmiany. Jeśli jedna strona odmówi, reszta tej listy jest akademicka i oszczędziłeś sobie przeglądu projektu.

Nie traktuj dwóch interfejsów jak routera

Dwa aktywne interfejsy nie czynią urządzenia automatycznie routerem ani mostem Ethernet. Sprawdź obsługiwaną konfigurację przekazywania, mostkowania, NAT i proxy, zanim opiszesz cokolwiek jako ścieżkę tranzytową, i zachowaj wszelkie niepowiązane autoryzowane zadania routingu, które urządzenie już ma. Laptop z lokalną siecią kontenerów lub hostem wirtualizacji nie jest tu neutralnym obserwatorem.

Jeśli wymóg naprawdę dotyczy tranzytu z A do B, należy to do urządzenia sieciowego z właścicielem, audytowalnym zestawem reguł i procesem zmian. Zrobienie tego przypadkiem przez stację roboczą to wynik, którego ta kontrola ma zapobiec.

Traktuj punkt końcowy także jako punkt dostępowy

Urządzenie nie jest tylko klientem obu sieci; jest hostem, który oferuje usługi. Dozwolona usługa na tej maszynie może być osiągalna z peera VPN zgodnie z zaporą hosta i polityką klienta, więc otwarty port zarządzania na laptopie jest teraz częścią powierzchni ataku zdalnej sieci. Wypisz, co nasłuchuje, zanim zaczniesz spierać się o trasy, bo jeden przypięty port debugowania waży więcej niż jakakolwiek polityka tunelu. Ogranicz usługi hosta do ich zamierzonych źródeł i celów.

Traktuj każdą zdalną sieć jako domenę zasobów z jawnymi uprawnieniami, zamiast dawać szerokie zaufanie dlatego, że ruch przyszedł zaszyfrowany. Architektura zero trust NIST oddziela autoryzację zasobów od domniemanego zaufania do lokalizacji sieciowej, i dokładnie tę różnicę rozmywa laptop z dwoma tunelami.

Zadaj jeszcze jedno pytanie, póki tu jesteś: gdyby lokalna usługa lub autoryzowana aplikacja zostały przejęte, jakie zasoby i poświadczenia stałyby się osiągalne z tego przyczółka? Zapisz odpowiedź, bo to jest prawdziwe oświadczenie o ryzyku dla całego projektu.

Wybierz granicę pracy dopasowaną do modelu zagrożeń

Routing per aplikacja może przypisywać programy do zamierzonych tuneli, a osobne profile pracy, użytkownicy lub obsługiwane wirtualne przestrzenie robocze mogą dodawać granice tożsamości i danych w zależności od platformy. Dopasuj granicę do modelu zagrożeń, a nie do demonstracji: podział routingu bez podziału tożsamości nadal pozostawia jeden profil przeglądarki z obiema sesjami.

Przestrzeń nazw sieci izoluje routing i stan sieci; nie izoluje każdej ścieżki systemu plików, schowka ani agenta poświadczeń. Maszyna wirtualna lub profil zarządzany również wymagają przemyślanej polityki udostępniania i administracji hosta. Zapisz, które foldery, pomocniki uwierzytelniania i ścieżki kopiowania i wklejania pozostają dostępne, bo to są kanały, które faktycznie przenoszą dane między dwiema domenami.

Dla pracy sekwencyjnej świadome przełączenie jest zwykle prostsze niż utrzymywanie jednoczesnego dostępu. Dokończ operację zależną, a następnie zweryfikuj tożsamość i trasę następnej przestrzeni roboczej, zamiast zostawiać narzędzia w tle przypięte do niejednoznacznego kontekstu.

Zapisz zatwierdzenie jako zadanie, nie jako slogan

Zapis zatwierdzenia powinien czytać się jak zadanie: przestrzeń robocza wsparcia może docierać do konsoli usług Sieci A i portalu zgłoszeń Sieci B, bez autoryzowanego przekazywania z A do B, bez wspólnego agenta poświadczeń i bez automatycznej synchronizacji plików. Każdy fragment tego zdania odpowiada czemuś, co można skonfigurować i przetestować.

Następnie zweryfikuj przypadki negatywne, nie tylko pozytywne. Spróbuj dotrzeć do zasobu, który powinien być poza granicą, potwierdź, że usługa hosta nie odpowiada z drugiej strony, i sprawdź, że pomocnik poświadczeń nie obsługuje po cichu obu domen.

Przechowuj zapis przy urządzeniu, nie tylko w zgłoszeniu, aby następna osoba, która odziedziczy układ, wiedziała, która granica była zamierzona. Laptopa z dwoma tunelami i bez zapisanej granicy nie da się odróżnić od błędnej konfiguracji.