Duas VPN ao mesmo tempo? Defina primeiro a fronteira do endpoint

Dois clientes VPN conectados ao mesmo tempo colocam um endpoint em dois domínios de recursos, e isso é uma questão de autorização antes de ser uma questão de roteamento. O fato de os túneis serem criptografados não diz nada sobre se as aplicações daquele portátil deveriam alcançar as duas redes, nem sobre se um par de uma rede deveria alcançar a outra por meio dele. Percorra as verificações abaixo em ordem e pare na primeira que ninguém conseguir responder. Aprovar a sobreposição sem essas respostas é como um arranjo conveniente se torna, em silêncio, uma ponte.

Comece pelo trabalho real: quais recursos de cada rede a pessoa precisa e se os dois proprietários das redes permitem acesso simultâneo a partir de um único dispositivo.

Verifique quem permite a sobreposição

Duas redes que autenticam o mesmo usuário continuam a ter proprietários separados, e esses proprietários podem ter suposições incompatíveis sobre dispositivos ligados também a outro lugar. Pergunte aos dois antes de projetar qualquer coisa. Uma política de acesso remoto escrita para portáteis isolados muitas vezes não tem resposta alguma para uma máquina que está simultaneamente dentro de uma rede parceira.

Obtenha a resposta por escrito e guarde-a com o registro da mudança. Se um lado disser não, o resto desta lista é acadêmico, e você poupou-se a si mesmo uma revisão de projeto.

Não trate duas interfaces como um roteador

Duas interfaces ativas não tornam automaticamente o dispositivo um roteador nem uma ponte Ethernet. Verifique a configuração suportada de encaminhamento, bridge, NAT e proxy antes de descrever algo como caminho de trânsito, e preserve quaisquer tarefas de roteamento autorizadas e não relacionadas que o dispositivo já tenha. Um portátil que executa uma rede de contêineres local ou um host de virtualização não é aqui um observador neutro.

Se o requisito for realmente um trânsito de A para B, isso pertence a um dispositivo de rede com proprietário, um conjunto de regras auditável e um processo de mudança. Fazê-lo por acidente através de uma estação de trabalho é o resultado que esta verificação existe para evitar.

Trate o endpoint também como ponto de acesso

O dispositivo não é apenas um cliente das duas redes; é um host que oferece serviços. Um serviço permitido nessa máquina pode ser alcançável a partir de um par VPN segundo o firewall do host e a política do cliente, então uma porta de gestão exposta no portátil passa a fazer parte da superfície de ataque da rede remota. Enumere o que está à escuta antes de discutir rotas, porque uma porta de depuração ligada pesa mais do que qualquer política de túnel. Mantenha os serviços do host limitados às suas fontes e finalidades previstas.

Trate cada rede remota como um domínio de recursos com permissões explícitas em vez de conceder confiança ampla porque o tráfego chegou criptografado. A arquitetura de confiança zero da NIST separa a autorização de recursos da confiança implícita na localização de rede, e é exatamente essa distinção que um portátil com dois túneis desfoca.

Faça mais uma pergunta enquanto está aqui: se um serviço local ou uma aplicação autorizada fosse comprometido, que recursos e credenciais se tornariam alcançáveis a partir desse ponto de apoio? Escreva a resposta, porque é a declaração de risco real para todo o projeto.

Escolha a fronteira de trabalho que se ajusta ao modelo de ameaças

O roteamento por aplicação pode atribuir programas aos túneis previstos, e perfis de trabalho, usuários ou espaços de trabalho virtuais suportados podem acrescentar fronteiras de identidade e de dados conforme a plataforma. Ajuste a fronteira ao modelo de ameaças e não à demonstração: uma separação de roteamento sem separação de identidade ainda deixa um único perfil de navegador com as duas sessões.

Um namespace de rede isola o roteamento e o estado de rede; não isola cada caminho do sistema de arquivos, a área de transferência nem o agente de credenciais. Uma máquina virtual ou um perfil gerenciado também precisam de uma política deliberada de compartilhamento e administração do host. Registre que pastas, assistentes de autenticação e caminhos de copiar e colar continuam disponíveis, porque são esses os canais que de fato transportam dados entre os dois domínios.

Para trabalho sequencial, uma mudança intencional costuma ser mais simples do que manter o acesso simultâneo. Conclua a operação dependente e depois verifique a identidade e a rota do espaço de trabalho seguinte em vez de deixar ferramentas em segundo plano ligadas a um contexto ambíguo.

Escreva a aprovação como uma tarefa, não como um slogan

Um registro de aprovação deve ser lido como uma tarefa: o espaço de trabalho de suporte pode alcançar o console de serviços da Rede A e o portal de tickets da Rede B, sem encaminhamento autorizado de A para B, sem agente de credenciais compartilhado e sem sincronização automática de arquivos. Cada cláusula dessa frase corresponde a algo que se pode configurar e testar.

Depois verifique os casos negativos, não apenas os positivos. Tente alcançar um recurso que deveria ficar fora da fronteira, confirme que o serviço do host não responde do outro lado e verifique se o assistente de credenciais não atende em silêncio aos dois domínios.

Guarde o registro com o dispositivo, não apenas no ticket, para que a próxima pessoa que herdar o arranjo saiba qual fronteira era deliberada. Um portátil com dois túneis e sem fronteira escrita é indistinguível de uma configuração errada.