Dve VPN naraz? Najprv vymedzte hranicu koncového bodu

Dvaja súčasne pripojení klienti VPN umiestňujú jeden koncový bod do dvoch domén prostriedkov, a to je otázka autorizácie skôr, než je otázkou smerovania. To, že tunely sú šifrované, nehovorí nič o tom, či aplikácie na tomto notebooku majú dosiahnuť na obe siete, ani či partner jednej siete má cez neho dosiahnuť na druhú. Prejdite nižšie uvedené kontroly v poradí a zastavte sa pri prvej, na ktorú nikto nevie odpovedať. Schváliť prekrytie bez týchto odpovedí je spôsob, akým sa pohodlná úprava ticho stane mostom.

Začnite od skutočnej práce: ktoré prostriedky v každej sieti človek potrebuje a či obaja vlastníci sietí povoľujú súčasný prístup z jedného zariadenia.

Overte, kto prekrytie povoľuje

Dve siete, ktoré každá overujú toho istého používateľa, majú stále oddelených vlastníkov a títo vlastníci môžu mať nezlučiteľné predpoklady o zariadeniach pripojených aj inde. Opýtajte sa oboch, skôr než čokoľvek navrhnete. Zásada vzdialeného prístupu napísaná pre izolované notebooky často nemá vôbec žiadnu odpoveď pre stroj, ktorý je súčasne vnútri partnerskej siete.

Získajte odpoveď písomne a uložte ju spolu so záznamom o zmene. Ak jedna strana povie nie, zvyšok tohto zoznamu je akademický a ušetrili ste si revíziu návrhu.

Nezachádzajte s dvoma rozhraniami ako so smerovačom

Dve aktívne rozhrania automaticky nerobia zo zariadenia smerovač ani ethernetový most. Overte podporovanú konfiguráciu preposielania, mosta, NAT a proxy skôr, než niečo opíšete ako tranzitnú cestu, a zachovajte akékoľvek nesúvisiace povolené smerovacie povinnosti, ktoré zariadenie už má. Notebook, na ktorom beží lokálna kontajnerová sieť alebo hostiteľ virtualizácie, tu nie je neutrálnym pozorovateľom.

Ak je požiadavkou naozaj tranzit z A do B, patrí na sieťové zariadenie s vlastníkom, auditovateľnou sadou pravidiel a procesom zmien. Náhodne to urobiť cez pracovnú stanicu je výsledok, ktorému má táto kontrola zabrániť.

Berte koncový bod aj ako prístupový bod

Zariadenie nie je len klientom oboch sietí; je hostiteľom, ktorý ponúka služby. Povolená služba na tomto stroji môže byť dosiahnuteľná z partnerského uzla VPN podľa hostiteľského firewallu a zásad klienta, takže otvorený port správy na notebooku je teraz súčasťou útočnej plochy vzdialenej siete. Vymenujte, čo načúva, skôr než začnete diskutovať o trasách, pretože jeden naviazaný ladiaci port váži viac ako akákoľvek zásada tunela. Držte hostiteľské služby v medziach ich zamýšľaných zdrojov a účelov.

Ku každej vzdialenej sieti pristupujte ako k doméne prostriedkov s výslovnými povoleniami, namiesto toho, aby ste dávali širokú dôveru preto, že prevádzka prišla šifrovaná. Architektúra nulovej dôvery NIST oddeľuje autorizáciu prostriedkov od implicitnej dôvery v sieťové umiestnenie, a presne tento rozdiel notebook s dvoma tunelmi rozmazáva.

Položte si ešte jednu otázku, kým ste tu: ak by bola lokálna služba alebo povolená aplikácia kompromitovaná, ktoré prostriedky a prihlasovacie údaje by sa z tohto predmostia stali dostupnými? Zapíšte odpoveď, pretože je to skutočné vyhlásenie o riziku pre celý návrh.

Zvoľte pracovnú hranicu, ktorá zodpovedá modelu hrozieb

Smerovanie podľa aplikácie môže prideľovať programy zamýšľaným tunelom a samostatné pracovné profily, používatelia alebo podporované virtuálne pracovné priestory môžu podľa platformy pridať hranice identity a údajov. Prispôsobte hranicu modelu hrozieb, nie ukážke: rozdelenie smerovania bez rozdelenia identity stále necháva jeden profil prehliadača s oboma reláciami.

Sieťový menný priestor izoluje smerovanie a stav siete; neizoluje každú cestu súborového systému, schránku ani agenta prihlasovacích údajov. Virtuálny stroj alebo spravovaný profil tiež potrebujú premyslenú zásadu zdieľania a správy hostiteľa. Zaznamenajte, ktoré priečinky, pomocníci overovania a cesty kopírovania a vkladania zostávajú dostupné, pretože to sú kanály, ktoré skutočne prenášajú údaje medzi dvoma doménami.

Pri nadväznom pracovaní je vedomé prepnutie zvyčajne jednoduchšie ako udržiavanie súčasného prístupu. Dokončite závislú operáciu a potom overte identitu a trasu ďalšieho pracovného priestoru, namiesto toho, aby ste nechali nástroje na pozadí pripútané k nejednoznačnému kontextu.

Napíšte schválenie ako úlohu, nie ako heslo

Záznam o schválení by sa mal čítať ako úloha: pracovný priestor podpory smie dosiahnuť na konzolu služieb siete A a portál požiadaviek siete B, bez povoleného preposielania z A do B, bez spoločného agenta prihlasovacích údajov a bez automatickej synchronizácie súborov. Každá časť tejto vety zodpovedá niečomu, čo sa dá nastaviť a otestovať.

Potom overte negatívne prípady, nielen pozitívne. Skúste dosiahnuť na prostriedok, ktorý má byť mimo hranice, potvrďte, že hostiteľská služba neodpovedá z druhej strany, a skontrolujte, že pomocník prihlasovacích údajov potichu neobsluhuje obe domény.

Uchovávajte záznam pri zariadení, nielen v tikete, aby ďalší človek, ktorý úpravu zdedí, vedel, ktorá hranica bola úmyselná. Notebook s dvoma tunelmi a bez písanej hranice sa nedá odlíšiť od chybnej konfigurácie.