Dva VPN-ja hkrati? Najprej določite mejo končne točke

Dva hkrati povezana odjemalca VPN postavljata eno končno točko v dve domeni virov, in to je vprašanje avtorizacije, preden je vprašanje usmerjanja. To, da so tuneli šifrirani, ne pove ničesar o tem, ali naj aplikacije na tem prenosniku dosežejo obe omrežji, ali naj partner enega omrežja prek njega doseže drugo. Pojdite skozi spodnje kontrole po vrsti in ustavite se pri prvi, na katero nihče ne zna odgovoriti. Odobritev prekrivanja brez teh odgovorov je pot, po kateri priročna ureditev tiho postane most.

Začnite pri resničnem delu: katere vire v vsakem omrežju oseba potrebuje in ali oba lastnika omrežij dovoljujeta hkraten dostop z ene naprave.

Preverite, kdo dovoljuje prekrivanje

Dve omrežji, ki vsako preverjata istega uporabnika, imata še vedno ločena lastnika, in ta lastnika imata lahko nezdružljive predpostavke o napravah, ki so povezane tudi drugje. Vprašajte oba, preden karkoli zasnujete. Politika oddaljenega dostopa, napisana za izolirane prenosnike, pogosto nima nobenega odgovora za stroj, ki je hkrati znotraj partnerskega omrežja.

Pridobite odgovor pisno in ga shranite skupaj z zapisom o spremembi. Če ena stran reče ne, je preostanek tega seznama akademski, in prihranili ste si pregled zasnove.

Dveh vmesnikov ne obravnavajte kot usmerjevalnik

Dva aktivna vmesnika naprave ne naredita samodejno usmerjevalnika ali mostu Ethernet. Preverite podprto konfiguracijo posredovanja, mostu, NAT in proxyja, preden karkoli opišete kot tranzitno pot, in ohranite morebitne nepovezane pooblaščene naloge usmerjanja, ki jih naprava že ima. Prenosnik, na katerem teče lokalno omrežje zabojnikov ali gostitelj virtualizacije, tukaj ni nevtralen opazovalec.

Če je zahteva res tranzit od A do B, spada na omrežno napravo z lastnikom, revidirljivim naborom pravil in postopkom sprememb. Če to po nesreči storite prek delovne postaje, je to rezultat, ki ga ta kontrola preprečuje.

Končno točko obravnavajte tudi kot dostopno točko

Naprava ni samo odjemalec obeh omrežij; je gostitelj, ki ponuja storitve. Dovoljena storitev na tem stroju je lahko dosegljiva s partnerske točke VPN glede na požarni zid gostitelja in politiko odjemalca, zato je odprta vrata za upravljanje na prenosniku zdaj del napadalne površine oddaljenega omrežja. Naštejte, kaj posluša, preden razpravljate o poteh, ker ena vezana vrata za razhroščevanje tehtajo več kot katera koli politika tunela. Storitve gostitelja omejite na njihove predvidene vire in namene.

Vsako oddaljeno omrežje obravnavajte kot domeno virov z izrecnimi dovoljenji, namesto da bi dajali široko zaupanje zato, ker je promet prispel šifriran. Arhitektura ničelnega zaupanja NIST ločuje avtorizacijo virov od implicitnega zaupanja v omrežno lokacijo, in prav to razliko prenosnik z dvema tuneloma zamegli.

Zastavite še eno vprašanje, dokler ste tukaj: če bi bila lokalna storitev ali pooblaščena aplikacija ogrožena, kateri viri in poverilnice bi postali dosegljivi s tega oporišča? Zapišite odgovor, ker je to resnična izjava o tveganju za celotno zasnovo.

Izberite delovno mejo, ki ustreza modelu groženj

Usmerjanje po aplikaciji lahko dodeli programe predvidenim tunelom, ločeni delovni profili, uporabniki ali podprti navidezni delovni prostori pa lahko glede na platformo dodajo meje identitete in podatkov. Mejo prilagodite modelu groženj, ne predstavitvi: ločitev usmerjanja brez ločitve identitete še vedno pusti en profil brskalnika z obema sejama.

Omrežni imenski prostor izolira usmerjanje in stanje omrežja; ne izolira vsake poti datotečnega sistema, odložišča ali agenta poverilnic. Navidezni stroj ali upravljani profil prav tako potrebujeta premišljeno politiko souporabe in upravljanja gostitelja. Zabeležite, katere mape, pomočniki za preverjanje pristnosti in poti kopiranja in lepljenja ostanejo na voljo, ker so to kanali, ki dejansko prenašajo podatke med dvema domenama.

Pri zaporednem delu je namerni preklop običajno preprostejši od ohranjanja hkratnega dostopa. Dokončajte odvisno operacijo in nato preverite identiteto in pot naslednjega delovnega prostora, namesto da bi orodja v ozadju pustili pritrjena na dvoumen kontekst.

Odobritev zapišite kot nalogo, ne kot slogan

Zapis o odobritvi bi moral brati kot naloga: delovni prostor za podporo lahko doseže konzolo storitev omrežja A in portal zahtevkov omrežja B, brez pooblaščenega posredovanja od A do B, brez skupnega agenta poverilnic in brez samodejnega sinhroniziranja datotek. Vsak del tega stavka ustreza nečemu, kar je mogoče nastaviti in preizkusiti.

Nato preverite negativne primere, ne le pozitivnih. Poskusite doseči vir, ki bi moral biti zunaj meje, potrdite, da storitev gostitelja ne odgovarja z druge strani, in preverite, da pomočnik za poverilnice tiho ne streže obema domenama.

Zapis hranite pri napravi, ne le v zahtevku, da bo naslednja oseba, ki ureditev podeduje, vedela, katera meja je bila namerna. Prenosnika z dvema tuneloma in brez zapisane meje ni mogoče ločiti od napačne konfiguracije.