Dva VPN-a odjednom? Prvo definirajte granicu krajnje točke

Dva istovremeno povezana VPN klijenta smještaju jednu krajnju točku u dvije domene resursa, a to je pitanje autorizacije prije nego pitanje usmjeravanja. To što su tuneli šifrirani ne govori ništa o tome trebaju li aplikacije na tom prijenosniku dosezati obje mreže, ni o tome treba li partner jedne mreže kroz njega dosezati drugu. Prođite kontrolne provjere u nastavku redom i zaustavite se na prvoj na koju nitko ne može odgovoriti. Odobravanje preklapanja bez tih odgovora način je na koji ugodan raspored tiho postaje most.

Krenite od stvarnog posla: koji su resursi u svakoj mreži potrebni osobi i dopuštaju li oba vlasnika mreža istovremeni pristup s jednog uređaja?

Provjerite tko dopušta preklapanje

Dvije mreže koje svaka autentificira istog korisnika i dalje imaju odvojene vlasnike, a ti vlasnici mogu imati nespojive pretpostavke o uređajima koji su također povezani negdje drugdje. Pitajte oba prije nego što išta dizajnirate. Pravila udaljenog pristupa napisana za izolirane prijenosnike često uopće nemaju odgovor za stroj koji je istovremeno unutar partnerske mreže.

Zatražite odgovor u pisanom obliku i čuvajte ga uz zapis o promjeni. Ako jedna strana kaže ne, ostatak ovog popisa je akademski i uštedjeli ste si pregled dizajna.

Ne tretirajte dva sučelja kao usmjerivač

Dva aktivna sučelja ne čine uređaj automatski usmjerivačem ni Ethernet mostom. Provjerite podržanu konfiguraciju prosljeđivanja, premošćivanja, NAT-a i proxyja prije nego što bilo što opišete kao tranzitni put, i sačuvajte sve nepovezane ovlaštene usmjerivačke dužnosti koje uređaj već ima. Prijenosnik koji pokreće lokalnu kontejnersku mrežu ili host za virtualizaciju ovdje nije neutralan promatrač.

Ako je zahtjev doista tranzit od A do B, to pripada mrežnom uređaju s vlasnikom, revidibilnim skupom pravila i procesom promjene. Slučajno to činiti preko radne stanice ishod je koji ova provjera postoji da spriječi.

Tretirajte krajnju točku i kao pristupnu točku

Uređaj nije samo klijent obiju mreža; on je host koji nudi usluge. Dopuštena usluga na tom stroju može biti dostupna VPN partneru prema vatrozidu hosta i pravilima klijenta, pa je izložen upravljački port na prijenosniku sada dio napadne površine udaljene mreže. Popišite što sluša prije nego što raspravljate o rutama, jer jedan vezani port za otklanjanje pogrešaka vrijedi više od bilo koje politike tunela. Držite usluge hosta ograničene na njihove predviđene izvore i svrhe.

Tretirajte svaku udaljenu mrežu kao domenu resursa s izričitim dopuštenjima umjesto da dajete široko povjerenje zato što je promet stigao šifriran. NIST-ova arhitektura nultog povjerenja odvaja autorizaciju resursa od implicitnog povjerenja u mrežni položaj, a to je upravo razlika koju prijenosnik s dva tunela zamućuje.

Postavite još jedno pitanje dok ste ovdje: ako bi lokalna usluga ili ovlaštena aplikacija bila kompromitirana, koji bi resursi i vjerodajnice postali dostupni s tog uporišta? Zapišite odgovor jer je to stvarna izjava o riziku za cijeli dizajn.

Odaberite radnu granicu koja odgovara modelu prijetnji

Usmjeravanje po aplikaciji može dodijeliti programe predviđenim tunelima, a odvojeni radni profili, korisnici ili podržani virtualni radni prostori mogu dodati granice identiteta i podataka ovisno o platformi. Uskladite granicu s modelom prijetnji, a ne s demonstracijom: razdvajanje usmjeravanja bez razdvajanja identiteta i dalje ostavlja jedan profil preglednika s obje sesije.

Mrežni imenski prostor izolira usmjeravanje i mrežno stanje; ne izolira svaku stazu datotečnog sustava, međuspremnik ni agenta vjerodajnica. Virtualni stroj ili upravljani profil također trebaju promišljenu politiku dijeljenja i administracije hosta. Zabilježite koje mape, pomoćnici za provjeru autentičnosti i putanje kopiranja i lijepljenja ostaju dostupni, jer su to kanali koji doista prenose podatke između dviju domena.

Za uzastopni rad namjerna je zamjena obično jednostavnija od održavanja istovremenog pristupa. Dovršite zavisnu radnju pa zatim provjerite identitet i rutu sljedećeg radnog prostora umjesto da pozadinske alate ostavite vezane uz dvosmislen kontekst.

Napišite odobrenje kao zadatak, a ne kao parolu

Zapis o odobrenju trebao bi se čitati kao zadatak: pomoćni radni prostor smije dosezati konzolu usluga mreže A i portal za zahtjeve mreže B, bez ovlaštenog prosljeđivanja od A do B, bez zajedničkog agenta vjerodajnica i bez automatske sinkronizacije datoteka. Svaka klauzula te rečenice odgovara nečemu što možete konfigurirati i ispitati.

Zatim provjerite negativne slučajeve, a ne samo pozitivne. Pokušajte dosegnuti resurs koji bi trebao biti izvan granice, potvrdite da usluga hosta ne odgovara s druge strane i provjerite da pomoćnik vjerodajnica ne poslužuje tiho obje domene.

Čuvajte zapis uz uređaj, a ne samo u zahtjevu, kako bi sljedeća osoba koja naslijedi raspored znala koja je granica bila namjerna. Prijenosnik s dva tunela i bez pisane granice ne razlikuje se od pogrešne konfiguracije.