Umiestnite VPN bránu vedľa Windows XP, nie dovnútra

Niekde v budove stojí stroj, ktorý spúšťa aplikáciu, ktorú nikto nedokáže nahradiť, na operačnom systéme, ktorý by sa nemal pripájať k ničomu. Vyjstí od sieťového adaptéra tohto hostu je najrýchlejší spôsob, ako zistiť, kam tunel patrí. Vo väčšine návrhov na host vôbec nepatrí. Presuňte ho o jeden krok nabok na udržiavanú bránu a starý problém sa zmenší späť na aplikáciu, s ktorou začal.

Začnite pri adaptéri hostu, nie pri VPN klientovi

Otvorte vlastnosti adaptéra a dajte hostu pevnú adresu v malom vyhradenom segmente, pričom brána bude jeho predvolenou trasou. Host potom nepotrebuje klienta tunela, prihlasovacie údaje tunela ani záznamy v tabuľke trás siahajúce do širšej podnikovej siete. Ak aplikácia potrebuje jednu vzdialenú podsiev, pridajte presne túto jednu trasu.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Tento príkaz pripne jediný cieľ k bráne a všetko ostatné nechá bez trasy, čo je tvar, ktorý chcete. Výsledok overte pomocou route print namiesto dôvery v návratový kód. Potom skontrolujte, či aplikácia stále prekladá názov svojho servera, pretože starý host s pokazeným prekladačom vyzerá presne ako sieťová porucha, a oprava prekladača je päťminútová práca, zatiaľ čo prestavba aplikácie po chybnom sieťovom zásahu nie. Každý cieľ, na ktorý sa host nedostane, je o jednu vec menej, ku ktorej možno starý sieťový zásobník prehovoriť, aby zaútočil.

Umiestnite tunel na hardvér, ktorý môžete aktualizovať

Brána chce dve rozhrania: jedno obrátené k segmentu hostu a jedno tam, kde žije aplikácia, pričom tunel končí na druhom. Toto zariadenie môže prijímať aktualizácie firmvéru, meniť svoju kryptografickú konfiguráciu a zaznamenávať toky bez toho, aby sa niekto dotkol starého stroja. Jeho dodávateľ tiež dodáva opravy implementácie tunela, ktoré host nikdy nedostane. Dva stroje a termín nie sú dôvodom kopírovať recept so statickým tajomstvom z príspevku na fóre.

Dajte každej bráne vlastnú identitu partnera namiesto klonovania jednej klientskej konfigurácie na celú flotilu. Keď sa jednotka vymení, zrušte starú identitu v tom istom okamihu, keď uvádzate novú online, inak skončíte s dvoma nekontrolovanými kópiami overujúcimi sa voči rovnakému koncovému bodu. Ukladajte kľúče tam, kde ich očakáva riadiaca rovina brány, zaobchádzajte so zálohou konfigurácie ako s tajomstvom a preverte, kto môže túto konfiguráciu odosielať, pretože teraz rozhoduje o tom, kam sa starý host dostane.

Povoľte služby, nie siete

Napíšte politiku z hľadiska protokolu, portu a smeru medzi oboma pripojeniami. Jeden povolený port k jednej adrese aplikácie je obvyklá odpoveď a administratívna cesta cez odrazový host pokrýva zvyšok.

Vzdialená správa starého hostu by nemala ísť po rovnakom pravidle ako aplikácia a testovanie odmietnutia je rovnako dôležité ako písanie pravidla. Pošlite jednu požiadavku z hostu na cieľ, pri ktorom očakávate odmietnutie, a potvrďte, že odmietnutie prichádza z politiky, nie z chýbajúcej trasy. Zaznamenávajte toky, ktoré povoľujete, kým je návrh nový, aby ste videli, čo aplikácia skutočne používa, a nie čo tvrdí jej dokumentácia. Zlúčenie dvoch podsietí preto, že mostový návod vyzeral kratšie, je spôsob, akým sa starý segment potichu stane oporným bodom.

Nevystavujte starý poslucháč priamo internetu ako skratku okolo brány. Držte administratívnu cestu oddelene od cesty aplikácie, aby kompromitácia jednej neodovzdala druhú. Pravidlo, ktoré sa nikdy nevykonáva, je pravidlo, ktoré nikto neoveril, a preto odmietnutý cieľ patrí do akceptačného behu.

Obnova musí fungovať bez tunela

Rozhodnite, kto aktualizuje a obnovuje bránu pred prvým výpadkom, a uistite sa, že sa k nej táto osoba dostane bez tunela, ktorý ukončuje. Prístup ku konzole, miestny správcovský port alebo mimopásmová cesta sa všetky počítajú ako odpovede. Brána, ktorú možno konfigurovať len cez tunel, ktorý poskytuje, je pasca, ktorá trpezlivo čaká na zlé nahratie firmvéru.

Napíšte runbook pre poruchu, s ktorou sa skutočne stretnete: tunel nefunguje, brána je mŕtva, disk hostu zmizol. Uchovávajte obnovovací obraz hostu v rámci akejkoľvek ešte existujúcej podpornej dohody a pamätajte, že obnova vráti aj stav softvéru a prihlasovacie údaje v tomto obraze. Najprv obnovte na izolovaný segment, potvrďte, že aplikácia štartuje, a až potom čokoľvek znova pripojte; keď sa brána zmení, aktualizujte runbook a inventár pri tej istej príležitosti.

Certifikáty, hodiny a varovania o podpise

Vypršanie certifikátu inštalátora samo o sebe nepredpovedá, čo dnes povie kontrola podpisu. Pokyny Microsoftu k časovým pečiatkam Authenticode vysvetľujú, že časová pečiatka môže udržať podpis overiteľný aj po vypršaní podpisového certifikátu a že overenie stále závisí od podpisu, reťazca dôvery a overovateľa, ktorý prácu vykonáva. Dva stroje s rôznymi úložiskami dôvery sa preto môžu na tom istom súbore nezhodnúť. Vypršaný podpisujúci nie je dôkazom, že binárka je škodlivá, a platný podpis nie je dôkazom, že softvér je udržiavaný.

Neposúvajte systémové hodiny späť a nevypínajte kontroly podpisu, aby ste spustili starý inštalátor. Získajte autorizovaný artefakt od toho, kto aplikáciu ešte podporuje, a nechajte ich povedať, čo platforma akceptuje. Príspevky tvrdiace, že určitý build bol posledný pre XP, berte ako históriu, nie ako cieľ inštalácie, pretože skutočná požiadavka závisí od aplikácie; ak je práca na zachovaní naozaj potrebná, držte ju v izolovanom segmente ďaleko od produkčného prístupu a zdokumentujte, prečo existuje.