Postavite prehod VPN ob Windows XP, ne vanj

Nekje v stavbi stoji stroj, ki izvaja aplikacijo, ki je nihče ne more zamenjati, na operacijskem sistemu, ki ga ne bi smeli povezati z ničimer. Izhod od omrežnega adapterja tega gostitelja je najhitrejši način, da vidite, kam tunel sodi. V večini zasnov sploh ne sodi na gostitelja. Premaknite ga en korak stran na vzdrževan prehod in stara težava se skrči nazaj na aplikacijo, s katero se je začela.

Začnite pri adapterju gostitelja, ne pri odjemalcu VPN

Odprite lastnosti adapterja in dajte gostitelju fiksni naslov v majhnem namenskem segmentu, s prehodom kot privzeto potjo. Gostitelj nato ne potrebuje odjemalca tunela, poverilnic tunela ali vnosov v usmerjevalno tabelo v širše poslovno omrežje. Če aplikacija potrebuje eno oddaljeno podomrežje, dodajte točno to eno pot.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ta ukaz pripne en cilj na prehod in vse ostalo pusti brez poti, in to je oblika, ki jo želite. Rezultat potrdite s route print, namesto da bi zaupali izhodni kodi. Nato preverite, ali aplikacija še vedno razrešuje ime svojega strežnika, ker stari gostitelj z pokvarjenim razreševalnikom izgleda natanko kot omrežna napaka, popravilo razreševalnika pa je petminutno delo, medtem ko ponovna izgradnja aplikacije po napačni omrežni spremembi ni. Vsak cilj, do katerega gostitelj ne pride, je ena stvar manj, h kateri je mogoče prepričati star omrežni sklad, naj napade.

Postavite tunel na strojno opremo, ki jo lahko posodabljate

Prehod želi dva vmesnika: enega proti segmentu gostitelja in enega proti kraju, kjer živi aplikacija, pri čemer se tunel konča na drugem. Ta naprava lahko prejema posodobitve vdelane programske opreme, zamenja svojo kriptografsko konfiguracijo in beleži tokove, ne da bi se kdo dotaknil starega stroja. Njen dobavitelj dobavlja tudi popravke za izvedbo tunela, ki jih gostitelj ne bo nikoli prejel. Dva stroja in rok nista razlog, da bi kopirali recept s statično skrivnostjo iz objave na forumu.

Dajte vsakemu prehodu lastno identiteto sopotnika, namesto da bi klonirali eno konfiguracijo odjemalca na celotno floto. Ko je enota zamenjana, prekličite staro identiteto v istem trenutku, ko novo spravite v delovanje, sicer ostaneta dve nenadzorovani kopiji, ki se overjata na isti končni točki. Shranjujte ključe tam, kjer jih pričakuje ravnina upravljanja prehoda, obravnavajte varnostno kopijo konfiguracije kot skrivnost in pregledajte, kdo lahko to konfiguracijo potisne, ker zdaj odloča, kam lahko stari gostitelj pride.

Dovolite storitve, ne omrežij

Napišite pravilnik v smislu protokola, vrat in smeri med obema povezavama. Ena dovoljena vrata do enega naslova aplikacije so običajen odgovor, administrativna pot prek skočnega gostitelja pa pokrije ostalo.

Oddaljeno upravljanje starega gostitelja ne bi smelo iti po istem pravilu kot aplikacija, in preizkušanje zavrnitve je prav tako pomembno kot pisanje pravila. Pošljite eno zahtevo z gostitelja na cilj, za katerega pričakujete zavrnitev, in potrdite, da zavrnitev prihaja iz pravilnika in ne iz manjkajoče poti. Beležite tokove, ki jih dovolite, dokler je zasnova nova, da vidite, kaj aplikacija dejansko uporablja, in ne, kar trdi njena dokumentacija. Združevanje dveh podomrežij, ker se je mostni vodnik zdel krajši, je način, kako star segment tiho postane odskočna deska.

Starega poslušalca ne izpostavljajte neposredno internetu kot bližnjico okoli prehoda. Upravno pot imejte ločeno od poti aplikacije, da kompromitacija ene ne izroči druge. Pravilo, ki se nikoli ne izvaja, je pravilo, ki ga nihče ni preveril, zato zavrnjeni cilj sodi v sprejemni tek.

Obnovitev mora delovati brez tunela

Odločite, kdo posodablja in obnavlja prehod pred prvo prekinitvijo, in poskrbite, da bo ta oseba do njega prišla brez tunela, ki ga zaključuje. Dostop do konzole, lokalna upravljalna vrata ali pot zunaj pasu se vsi štejejo kot odgovori. Prehod, ki ga je mogoče konfigurirati le prek tunela, ki ga zagotavlja, je past, ki potrpežljivo čaka na slab potisk vdelane programske opreme.

Napišite runbook za okvaro, s katero se boste resnično srečali: tunel dol, prehod mrtev, disk gostitelja izginil. Ohranite obnovitveno sliko gostitelja v okviru katerega koli še obstoječega dogovora o podpori in ne pozabite, da obnovitev vrne tudi stanje programske opreme in poverilnice v tej sliki. Najprej obnovite na izoliranem segmentu, potrdite, da se aplikacija zažene, in šele nato znova priklopite karkoli; ko se prehod spremeni, v istem srečanju posodobite runbook in inventar.

Potrdila, ure in opozorila o podpisu

Potek veljavnosti potrdila namestitvenega programa sam po sebi ne napove, kaj bo danes rekla kontrola podpisa. Microsoftova navodila o časovnih žigih Authenticode pojasnjujejo, da lahko časovni žig ohrani podpis preverljiv tudi po poteku potrdila za podpisovanje, in preverjanje je še vedno odvisno od podpisa, verige zaupanja in preverjevalca, ki opravi delo. Dva stroja z različnimi hrambami zaupanja se zato lahko ne strinjata o isti datoteki. Potekel podpisnik ni dokaz, da je binarna datoteka zlonamerna, in veljaven podpis ni dokaz, da je programska oprema vzdrževana.

Sistemske ure ne premikajte nazaj in ne izklapljajte kontrol podpisa, da bi stari namestitveni program deloval. Pridobite pooblaščeni artefakt pri tistem, ki aplikacijo še podpira, in pustite, da povedo, kaj platforma sprejme. Objave, ki trdijo, da je bila določena gradnja zadnja za XP, obravnavajte kot zgodovino, ne kot cilj namestitve, ker je dejanska zahteva odvisna od aplikacije; če je ohranitveno delo res potrebno, ga hranite v izoliranem segmentu daleč od produkcijskega dostopa in dokumentirajte, zakaj obstaja.