Puneți poarta VPN lângă Windows XP, nu în interiorul lui

Undeva în clădire stă o mașină care rulează o aplicație pe care nimeni nu o poate înlocui, pe un sistem de operare care nu ar trebui conectat la nimic. Ieșirea din adaptorul de rețea al acelei gazde este cea mai rapidă cale de a vedea unde îi este locul tunelului. În majoritatea proiectelor, tunelul nu aparține deloc gazdei. Mutați-l un pas mai departe, pe o poartă întreținută, și problema veche se micșorează înapoi la aplicația cu care a început.

Începeți de la adaptorul gazdei, nu de la un client VPN

Deschideți proprietățile adaptorului și dați gazdei o adresă fixă într-un segment mic dedicat, cu poarta ca rută implicită. Gazda nu mai are nevoie de client de tunel, de acreditări de tunel sau de intrări în tabela de rutare către rețeaua corporativă mai largă. Dacă aplicația are nevoie de o singură subrețea la distanță, adăugați exact acea singură rută.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Acea comandă fixează o singură destinație pe poartă și lasă tot restul fără rută, iar aceasta este forma dorită. Confirmați rezultatul cu route print în loc să vă bazați pe codul de ieșire. Apoi verificați dacă aplicația își mai rezolvă numele serverului, pentru că o gazdă veche cu un resolver stricat arată exact ca o defecțiune de rețea, iar repararea resolverului este o muncă de cinci minute, în timp ce reconstruirea unei aplicații după o schimbare de rețea greșită nu este. Fiecare destinație la care gazda nu poate ajunge este un lucru mai puțin la care un stivă de rețea veche poate fi convinsă să atace.

Puneți tunelul pe hardware pe care îl puteți actualiza

Poarta vrea două interfețe: una spre segmentul gazdei și una spre locul unde trăiește aplicația, cu tunelul terminându-se pe cea de-a doua. Acel dispozitiv poate primi actualizări de firmware, își poate înlocui configurația criptografică și poate înregistra fluxuri fără ca cineva să atingă mașina veche. Furnizorul său livrează și corecturi pentru implementarea tunelului, pe care gazda nu le va primi niciodată. Două mașini și un termen nu sunt un motiv să copiați o rețetă cu secret static dintr-o postare pe forum.

Dați fiecărei porți propria identitate de peer în loc să clonați o configurație de client pe o flotă întreagă. Când o unitate este înlocuită, revocați identitatea veche în același moment în care o puneți online pe cea nouă, altfel rămâneți cu două copii necontrolate care se autentifică la același punct final. Păstrați cheile acolo unde le așteaptă planul de management al porții, tratați o copie de siguranță a configurației ca pe un secret și verificați cine poate împinge acea configurație, pentru că acum decide la ce poate ajunge gazda veche.

Permiteți servicii, nu rețele

Scrieți politica în termeni de protocol, port și direcție între cele două conexiuni. Un singur port permis către o singură adresă de aplicație este răspunsul obișnuit, iar o cale administrativă printr-o gazdă de salt acoperă restul.

Administrarea la distanță a gazdei vechi nu ar trebui să meargă pe aceeași regulă ca aplicația, iar testarea refuzului este la fel de importantă ca scrierea regulii. Trimiteți o cerere de la gazdă către o destinație despre care vă așteptați să fie refuzată și confirmați că refuzul vine din politică, nu dintr-o rută lipsă. Înregistrați fluxurile pe care le permiteți cât timp proiectul este nou, ca să vedeți ce folosește de fapt aplicația, nu ce susține documentația ei. Fuzionarea a două subrețele pentru că un tutorial cu punte părea mai scurt este modul în care un segment vechi devine în liniște o trambulină.

Nu expuneți vechiul listener direct la internet ca scurtătură în jurul porții. Țineți calea administrativă separată de calea aplicației, astfel încât compromiterea uneia să nu o predea pe cealaltă. O regulă care nu este niciodată exersată este o regulă pe care nimeni nu a verificat-o, de aceea destinația refuzată face parte din rularea de acceptare.

Recuperarea trebuie să funcționeze fără tunel

Decideți cine actualizează și recuperează poarta înainte de prima întrerupere și asigurați-vă că acea persoană poate ajunge la ea fără tunelul pe care îl termină. Accesul la consolă, un port de management local sau o cale în afara benzii contează toate ca răspunsuri. O poartă care poate fi configurată doar prin tunelul pe care îl oferă este o capcană care așteaptă răbdătoare o împingere proastă de firmware.

Scrieți runbook-ul pentru defecțiunea pe care o veți întâlni cu adevărat: tunel căzut, poartă moartă, discul gazdei dispărut. Păstrați imaginea de recuperare a gazdei sub orice aranjament de suport care mai există și țineți minte că o restaurare readuce și starea software și acreditările din acea imagine. Restaurați mai întâi pe segmentul izolat, confirmați că aplicația pornește și abia apoi reconectați ceva; când poarta se schimbă, actualizați runbook-ul și inventarul în aceeași ședință.

Certificate, ceasuri și avertismente de semnătură

Expirarea certificatului unui program de instalare nu prezice de la sine ce va spune astăzi o verificare de semnătură. Ghidul Microsoft privind marcajele de timp Authenticode explică faptul că un marcaj de timp poate menține o semnătură verificabilă după expirarea certificatului de semnare, iar validarea depinde în continuare de semnătură, de lanțul de încredere și de verificatorul care face treaba. Două mașini cu magazine de încredere diferite pot, prin urmare, să nu fie de acord asupra aceluiași fișier. Un semnatar expirat nu este dovada că un binar este rău-intenționat, iar o semnătură validă nu este dovada că software-ul este întreținut.

Nu dați ceasul sistemului înapoi și nu dezactivați verificările de semnătură pentru a face un instalator vechi să ruleze. Obțineți un artefact autorizat de la cine încă mai suportă aplicația și lăsați-i să spună ce acceptă platforma. Tratați postările care susțin că o anumită compilare a fost ultima pentru XP ca istorie, nu ca țintă de instalare, pentru că cerința reală depinde de aplicație; dacă munca de conservare este cu adevărat necesară, țineți-o pe un segment izolat departe de accesul de producție și documentați de ce există.