Postavite VPN gateway uz Windows XP, a ne unutar njega

Negdje u zgradi stoji mašina koja pokreće aplikaciju koju niko ne može zamijeniti, na operativnom sistemu koji se ne bi smio povezati ni sa čim. Kretanje od mrežnog adaptera tog hosta prema van najbrži je način da vidite gdje tunel pripada. U većini dizajna on uopće ne pripada hostu. Premjestite ga jedan korak dalje, na održavani gateway, i stari problem se smanjuje na aplikaciju s kojom je počeo.

Počnite od adaptera hosta, a ne od VPN klijenta

Otvorite svojstva adaptera i dajte hostu fiksnu adresu na malom namjenskom segmentu, s gatewayem kao njegovom zadatom rutom. Host tada ne treba klijent tunela, vjerodajnice tunela ni unose u tablicu rutiranja koji sežu u širu korporativnu mrežu. Ako aplikaciji treba jedna udaljena podmreža, dodajte tačno tu jednu rutu.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ta komanda prikiva jedno odredište na gateway i ostavlja sve ostalo bez rute, a to je oblik koji želite. Potvrdite rezultat pomoću route print umjesto da vjerujete izlaznom kodu. Zatim provjerite da aplikacija još uvijek razrješava ime svog servera, jer stari host s pokvarenim razrješivačem izgleda tačno kao mrežni kvar, a popravka razrješivača je petominutni posao, dok ponovna izgradnja aplikacije nakon pogrešne mrežne promjene nije. Svako odredište do kojeg host ne može doći je jedna stvar manje na koju se stari mrežni stek može nagovoriti da napadne.

Stavite tunel na hardver koji možete ažurirati

Gateway želi dva interfejsa: jedan prema segmentu hosta i jedan prema mjestu gdje aplikacija živi, s tunelom koji završava na drugom. Taj uređaj može primati ažuriranja firmvera, zamijeniti svoju kriptografsku konfiguraciju i bilježiti tokove bez da iko dira staru mašinu. Njegov dobavljač također isporučuje ispravke za implementaciju tunela, koje host nikada neće dobiti. Dvije mašine i rok nisu razlog da kopirate recept sa statičnom tajnom s foruma.

Dajte svakom gatewayu vlastiti identitet partnera umjesto da klonirate jednu klijentsku konfiguraciju na cijelu flotu. Kada se jedinica zamijeni, opozovite stari identitet u istom trenutku kada novi pustite online, inače završite s dvije nekontrolirane kopije koje se autentificiraju na isto odredište. Čuvajte ključeve tamo gdje ih upravljačka ravan gatewaya očekuje, tretirajte sigurnosnu kopiju konfiguracije kao tajnu i pregledajte ko može gurati tu konfiguraciju, jer sada odlučuje do čega stari host može doći.

Dozvolite usluge, ne mreže

Napišite politiku u smislu protokola, porta i smjera između dva priključka. Jedan dozvoljeni port prema jednoj adresi aplikacije uobičajen je odgovor, a administrativna staza kroz skočni host pokriva ostalo.

Udaljena administracija starog hosta ne bi trebala ići po istom pravilu kao aplikacija, a testiranje odbijanja jednako je važno kao pisanje pravila. Pošaljite jedan zahtjev s hosta na odredište za koje očekujete odbijanje i potvrdite da odbijanje dolazi iz politike, a ne iz nedostajuće rute. Bilježite tokove koje dozvoljavate dok je dizajn nov, da vidite šta aplikacija stvarno koristi, a ne šta tvrdi njena dokumentacija. Spajanje dvije podmreže jer je premošteni tutorijal izgledao kraće način je na koji stari segment tiho postaje uporište.

Ne izlažite stari slušalac direktno internetu kao prečicu oko gatewaya. Držite administrativnu stazu odvojeno od staze aplikacije, da kompromitovanje jedne ne preda drugu. Pravilo koje se nikada ne primjenjuje je pravilo koje niko nije provjerio, zato odbijeno odredište pripada prijemnom prolazu.

Oporavak mora raditi bez tunela

Odlučite ko ažurira i oporavlja gateway prije prvog prekida i pobrinite se da ta osoba može doći do njega bez tunela koji on završava. Konzolni pristup, lokalni upravljački port ili vanpojasna staza sve su prihvatljivi odgovori. Gateway koji se može konfigurirati samo kroz tunel koji pruža jest zamka koja strpljivo čeka loš firmware push.

Napišite runbook za kvar na koji ćete zaista naići: tunel pao, gateway mrtav, disk hosta nestao. Čuvajte sliku za oporavak hosta pod bilo kojim aranžmanom podrške koji još postoji i zapamtite da oporavak vraća i stanje softvera i vjerodajnice unutar te slike. Prvo vratite na izolirani segment, potvrdite da se aplikacija pokreće i tek onda ponovo povežite bilo šta; kada se gateway promijeni, ažurirajte runbook i inventar u istom sastanku.

Certifikati, satovi i upozorenja o potpisu

Istek certifikata instalatera sam po sebi ne predviđa šta će provjera potpisa reći danas. Microsoftove smjernice o vremenskim oznakama za Authenticode objašnjavaju da vremenska oznaka može održati potpis provjerljivim nakon isteka certifikata za potpisivanje, a validacija i dalje zavisi od potpisa, lanca povjerenja i provjerivača koji obavlja posao. Dvije mašine s različitim skladištima povjerenja stoga se mogu ne složiti oko istog fajla. Istekli potpisnik nije dokaz da je binarni fajl zlonamjeran, a valjan potpis nije dokaz da se softver održava.

Ne pomjerajte sistemski sat unazad i ne isključujte provjere potpisa da biste pokrenuli stari instalater. Nabavite ovlašteni artefakt od onoga ko još podržava aplikaciju i pustite ih da kažu šta platforma prihvata. Tretirajte objave koje tvrde da je određeni build bio posljednji za XP kao historiju, a ne kao cilj instalacije, jer stvarni zahtjev zavisi od aplikacije; ako je rad na očuvanju zaista potreban, držite ga na izoliranom segmentu daleko od produkcijskog pristupa i dokumentujte zašto postoji.