Два VPN одновременно? Сначала определите границу конечной точки

Два одновременно подключённых клиента VPN помещают одну конечную точку в два домена ресурсов, и это вопрос авторизации раньше, чем вопрос маршрутизации. Шифрование туннелей ничего не говорит о том, должны ли приложения на этом ноутбуке получать доступ к обеим сетям и должен ли узел одной сети достигать другой через него. Пройдите проверки ниже по порядку и остановитесь на первой, на которую никто не может ответить. Утвердить пересечение без этих ответов — это путь, которым удобная схема тихо превращается в мост.

Начните с реальной работы: какие ресурсы в каждой сети нужны человеку и разрешают ли оба владельца сетей одновременный доступ с одного устройства?

Проверьте, кто разрешает пересечение

Две сети, каждая из которых аутентифицирует одного и того же пользователя, по-прежнему имеют отдельных владельцев, и у этих владельцев могут быть несовместимые допущения об устройствах, подключённых также в другом месте. Спросите обоих, прежде чем что-либо проектировать. Политика удалённого доступа, написанная для изолированных ноутбуков, часто вообще не имеет ответа для машины, которая одновременно находится внутри сети партнёра.

Получите ответ в письменном виде и храните его вместе с записью об изменении. Если одна сторона говорит нет, остальная часть этого списка академична, и вы сэкономили себе проверку проекта.

Не рассматривайте два интерфейса как маршрутизатор

Два активных интерфейса не делают устройство автоматически маршрутизатором или мостом Ethernet. Проверьте поддерживаемую конфигурацию пересылки, моста, NAT и прокси, прежде чем называть что-либо транзитным путём, и сохраните любые несвязанные разрешённые обязанности маршрутизации, которые у устройства уже есть. Ноутбук, на котором работает локальная сеть контейнеров или хост виртуализации, здесь не является нейтральным наблюдателем.

Если требование действительно состоит в транзите из A в B, его место — на сетевом устройстве с владельцем, проверяемым набором правил и процессом изменений. Случайно сделать это через рабочую станцию — именно тот результат, для предотвращения которого существует эта проверка.

Относитесь к конечной точке и как к точке доступа

Устройство — не только клиент обеих сетей; это хост, который предоставляет службы. Разрешённая служба на этой машине может быть доступна со стороны узла VPN в соответствии с брандмауэром хоста и политикой клиента, поэтому открытый порт управления на ноутбуке теперь часть поверхности атаки удалённой сети. Перечислите, что слушает, прежде чем спорить о маршрутах, потому что один привязанный отладочный порт весит больше любой политики туннеля. Ограничьте службы хоста их предполагаемыми источниками и целями.

Относитесь к каждой удалённой сети как к домену ресурсов с явными разрешениями, вместо того чтобы давать широкое доверие из-за того, что трафик пришёл зашифрованным. Архитектура нулевого доверия NIST отделяет авторизацию ресурсов от неявного доверия к сетевому расположению, и именно это различие ноутбук с двумя туннелями размывает.

Задайте ещё один вопрос, пока вы здесь: если локальная служба или разрешённое приложение будут скомпрометированы, какие ресурсы и учётные данные станут доступны из этой точки опоры? Запишите ответ, потому что это и есть настоящее заявление о риске для всего проекта.

Выберите рабочую границу, соответствующую модели угроз

Маршрутизация по приложениям может назначать программы нужным туннелям, а отдельные рабочие профили, пользователи или поддерживаемые виртуальные рабочие пространства могут добавлять границы идентичности и данных в зависимости от платформы. Согласуйте границу с моделью угроз, а не с демонстрацией: разделение маршрутизации без разделения идентичности всё равно оставляет один профиль браузера с обеими сессиями.

Сетевое пространство имён изолирует маршрутизацию и состояние сети; оно не изолирует каждый путь файловой системы, буфер обмена или агент учётных данных. Виртуальная машина или управляемый профиль также нуждаются в продуманной политике совместного использования и администрирования хоста. Запишите, какие папки, помощники аутентификации и пути копирования и вставки остаются доступными, потому что именно эти каналы действительно переносят данные между двумя доменами.

Для последовательной работы намеренное переключение обычно проще, чем поддержание одновременного доступа. Завершите зависимую операцию и затем проверьте идентичность и маршрут следующего рабочего пространства, вместо того чтобы оставлять фоновые инструменты привязанными к неоднозначному контексту.

Запишите утверждение как задачу, а не как лозунг

Запись утверждения должна читаться как задача: рабочее пространство поддержки может обращаться к консоли служб сети A и порталу заявок сети B, без разрешённой пересылки из A в B, без общего агента учётных данных и без автоматической синхронизации файлов. Каждая часть этого предложения соответствует тому, что можно настроить и проверить.

Затем проверьте отрицательные случаи, а не только положительные. Попробуйте достичь ресурса, который должен быть вне границы, убедитесь, что служба хоста не отвечает с другой стороны, и проверьте, что помощник учётных данных молча не обслуживает оба домена.

Храните запись вместе с устройством, а не только в заявке, чтобы следующий человек, унаследовавший схему, знал, какая граница была намеренной. Ноутбук с двумя туннелями и без записанной границы неотличим от ошибочной конфигурации.