Două VPN simultan? Definiți mai întâi granița punctului final

Doi clienți VPN conectați simultan pun un punct final în două domenii de resurse, iar aceasta este o problemă de autorizare înainte de a fi o problemă de rutare. Faptul că tunelurile sunt criptate nu spune nimic despre dacă aplicațiile de pe acel laptop ar trebui să ajungă la ambele rețele, sau dacă un partener al unei rețele ar trebui să ajungă la cealaltă prin el. Parcurgeți verificările de mai jos în ordine și opriți-vă la prima la care nimeni nu poate răspunde. Aprobarea suprapunerii fără acele răspunsuri este felul în care un aranjament comod devine în liniște un pod.

Începeți cu munca reală: de ce resurse din fiecare rețea are nevoie persoana și dacă ambii proprietari ai rețelelor permit acces simultan de pe un singur dispozitiv.

Verificați cine permite suprapunerea

Două rețele care autentifică fiecare același utilizator au totuși proprietari separați, iar acești proprietari pot avea presupuneri incompatibile despre dispozitivele conectate și în altă parte. Întrebați-i pe amândoi înainte de a proiecta ceva. O politică de acces la distanță scrisă pentru laptopuri izolate adesea nu are niciun răspuns pentru o mașină care se află simultan într-o rețea parteneră.

Obțineți răspunsul în scris și păstrați-l împreună cu înregistrarea modificării. Dacă o parte spune nu, restul acestei liste este academic, iar dumneavoastră v-ați cruțat o revizuire de proiectare.

Nu tratați două interfețe ca pe un router

Două interfețe active nu fac automat dispozitivul un router sau un pod Ethernet. Verificați configurația acceptată de redirecționare, punte, NAT și proxy înainte de a descrie ceva ca o cale de tranzit, și păstrați orice sarcini de rutare autorizate și nelegate pe care dispozitivul le are deja. Un laptop care rulează o rețea de containere locală sau un host de virtualizare nu este aici un observator neutru.

Dacă cerința este într-adevăr un tranzit de la A la B, aceasta aparține unui echipament de rețea cu proprietar, un set de reguli auditabil și un proces de modificare. A face asta din greșeală printr-o stație de lucru este rezultatul pe care această verificare există ca să îl prevină.

Tratați punctul final și ca punct de acces

Dispozitivul nu este doar un client al ambelor rețele; este o gazdă care oferă servicii. Un serviciu permis pe acea mașină poate fi accesibil dintr-un partener VPN conform firewall-ului gazdei și politicii clientului, așa că un port de administrare expus pe laptop face acum parte din suprafața de atac a rețelei la distanță. Enumerați ce ascultă înainte de a discuta despre rute, pentru că un singur port de depanare legat cântărește mai mult decât orice politică de tunel. Limitați serviciile gazdei la sursele și scopurile lor prevăzute.

Tratați fiecare rețea la distanță ca un domeniu de resurse cu permisiuni explicite în loc să acordați încredere largă pentru că traficul a sosit criptat. Arhitectura zero trust a NIST separă autorizarea resurselor de încrederea implicită în locația de rețea, și exact această distincție o estompează un laptop cu două tuneluri.

Puneți încă o întrebare cât timp sunteți aici: dacă un serviciu local sau o aplicație autorizată ar fi compromisă, ce resurse și acreditări ar deveni accesibile din acel punct de sprijin? Scrieți răspunsul, pentru că este declarația reală de risc pentru întreaga proiectare.

Alegeți granița de lucru care se potrivește modelului de amenințare

Rutarea pe aplicație poate atribui programe tunelurilor prevăzute, iar profilurile de lucru, utilizatorii sau spațiile de lucru virtuale acceptate pot adăuga granițe de identitate și de date în funcție de platformă. Potriviți granița cu modelul de amenințare, nu cu demonstrația: o separare a rutării fără o separare a identității lasă totuși un singur profil de browser cu ambele sesiuni.

Un spațiu de nume de rețea izolează rutarea și starea rețelei; nu izolează fiecare cale a sistemului de fișiere, clipboard-ul sau agentul de acreditări. O mașină virtuală sau un profil gestionat are la fel nevoie de o politică deliberată de partajare și administrare a gazdei. Notați ce foldere, ajutoare de autentificare și căi de copiere și lipire rămân disponibile, pentru că acelea sunt canalele care transportă efectiv date între cele două domenii.

Pentru lucrul secvențial, o comutare intenționată este de obicei mai simplă decât menținerea accesului simultan. Terminați operația dependentă și apoi verificați identitatea și ruta următorului spațiu de lucru în loc să lăsați instrumente de fundal legate de un context ambiguu.

Scrieți aprobarea ca pe o sarcină, nu ca pe un slogan

O înregistrare de aprobare ar trebui să se citească ca o sarcină: spațiul de lucru de suport poate ajunge la consola de servicii a Rețelei A și la portalul de tichete al Rețelei B, fără redirecționare autorizată de la A la B, fără agent de acreditări partajat și fără sincronizare automată a fișierelor. Fiecare parte a acelei propoziții corespunde unui lucru pe care îl puteți configura și testa.

Apoi verificați cazurile negative, nu doar pe cele pozitive. Încercați să ajungeți la o resursă care ar trebui să fie în afara graniței, confirmați că serviciul gazdei nu răspunde din cealaltă parte și verificați că ajutorul de acreditări nu servește în tăcere ambele domenii.

Păstrați înregistrarea la dispozitiv, nu doar în tichet, ca următoarea persoană care moștenește aranjamentul să știe care graniță a fost intenționată. Un laptop cu două tuneluri și fără graniță scrisă nu se poate distinge de o configurație greșită.