Dy VPN njëherësh? Së pari përcaktoni kufirin e pikës fundore

Dy klientë VPN të lidhur njëherësh vendosin një pikë fundore në dy domenë burimesh, dhe kjo është çështje autorizimi përpara se të jetë çështje rrugëtimi. Fakti që tunelet janë të kriptuara nuk thotë asgjë nëse aplikacionet në atë laptop duhet të arrijnë të dy rrjetet, apo nëse një partner i një rrjeti duhet të arrijë tjetrin përmes tij. Kaloni kontrollet më poshtë sipas radhës dhe ndaloni në të parën të cilën askush nuk mund t'i përgjigjet. Miratimi i mbivendosjes pa ato përgjigje është mënyra se si një rregullim i përshtatshëm kthehet në heshtje në një urë.

Filloni nga puna reale: cilat burime në secilin rrjet i nevojiten personit dhe a lejojnë të dy pronarët e rrjeteve akses të njëkohshëm nga një pajisje.

Kontrolloni kush e lejon mbivendosjen

Dy rrjete që secili vërtetojnë të njëjtin përdorues kanë ende pronarë të veçantë, dhe këta pronarë mund të kenë supozime të papajtueshme për pajisjet që janë të lidhura edhe diku tjetër. Pyesni të dy përpara se të projektoni ndonjë gjë. Një politikë e aksesit në distancë e shkruar për laptopë të izoluar shpesh nuk ka fare përgjigje për një makinë që ndodhet njëkohësisht brenda një rrjeti partneri.

Merrni përgjigjen me shkrim dhe mbajeni me regjistrin e ndryshimit. Nëse njëra palë thotë jo, pjesa tjetër e kësaj liste është akademike, dhe ju keni kursyer vetes një rishikim projekti.

Mos i trajtoni dy ndërfaqe si një ruter

Dy ndërfaqe aktive nuk e bëjnë automatikisht pajisjen një ruter ose një urë Ethernet. Kontrolloni konfigurimin e mbështetur të përcjelljes, urës, NAT dhe përfaqësuesit përpara se të përshkruani diçka si rrugë tranziti, dhe ruani çdo detyrë rrugëtimi të autorizuar e të palidhur që pajisja ka tashmë. Një laptop që ekzekuton një rrjet kontejnerësh lokal ose një host virtualizimi nuk është këtu vëzhgues neutral.

Nëse kërkesa është vërtet tranzit nga A në B, ai i takon një pajisjeje rrjeti me pronar, grup rregullash të auditueshëm dhe proces ndryshimi. Ta bësh atë aksidentalisht përmes një stacioni pune është rezultati që ekziston ky kontroll për ta parandaluar.

Trajtoni pikën fundore edhe si pikë aksesi

Pajisja nuk është vetëm klient i të dy rrjeteve; është një host që ofron shërbime. Një shërbim i lejuar në atë makinë mund të jetë i arritshëm nga një partner VPN sipas firewall-it të hostit dhe politikës së klientit, kështu që një portë administrimi e hapur në laptop është tani pjesë e sipërfaqes së sulmit të rrjetit në distancë. Listoni çfarë dëgjon përpara se të debatoni për rrugët, sepse një portë e lidhur për korrigjim peshon më shumë se çdo politikë tuneli. Mbani shërbimet e hostit të kufizuara në burimet dhe qëllimet e tyre të synuara.

Trajtoni çdo rrjet në distancë si një domen burimesh me leje të shprehura, në vend që të jepni besim të gjerë sepse trafiku mbërriti i kriptuar. Arkitektura e besimit zero e NIST ndan autorizimin e burimeve nga besimi i nënkuptuar në vendndodhjen e rrjetit, dhe pikërisht atë dallim një laptop me dy tunele e turbullon.

Bëni edhe një pyetje tjetër ndërsa jeni këtu: nëse një shërbim lokal ose një aplikacion i autorizuar do të komprometohej, cilat burime dhe kredenciale do të bëheshin të arritshme nga ai pikëmbështetje? Shkruajeni përgjigjen, sepse është deklarata reale e rrezikut për të gjithë projektin.

Zgjidhni kufirin e punës që përputhet me modelin e kërcënimit

Rrugëtimi sipas aplikacionit mund t'u caktojë programeve tunelet e synuara, dhe profilet e punës, përdoruesit ose hapësirat virtuale të punës të mbështetura mund të shtojnë kufij identiteti dhe të dhënash në varësi të platformës. Përputhni kufirin me modelin e kërcënimit dhe jo me demonstrimin: një ndarje e rrugëtimit pa ndarje identiteti lë ende një profil shfletuesi me të dyja sesionet.

Një hapësirë emrash rrjeti izolon rrugëtimin dhe gjendjen e rrjetit; nuk izolon çdo shteg të sistemit të skedarëve, clipboard-in ose agjentin e kredencialeve. Një makinë virtuale ose një profil i menaxhuar gjithashtu kanë nevojë për politikë të qëllimshme ndarjeje dhe administrimi të hostit. Regjistroni cilat dosje, ndihmës vërtetimi dhe shtigje kopjimi e ngjitjeje mbeten të disponueshme, sepse ato janë kanalet që vërtet mbajnë të dhënat midis dy domeneve.

Për punë të njëpasnjëshme, një ndërrim i qëllimshëm është zakonisht më i thjeshtë sesa mbajtja e aksesit të njëkohshëm. Përfundoni operacionin e varur dhe më pas verifikoni identitetin dhe rrugën e hapësirës së punës së radhës në vend që të lini mjete në sfond të lidhura me një kontekst të paqartë.

Shkruajeni miratimin si detyrë, jo si slogan

Një regjistër miratimi duhet të lexohet si detyrë: hapësira e punës e mbështetjes mund të arrijë konsolën e shërbimeve të Rrjetit A dhe portalin e tiketave të Rrjetit B, pa përcjellje të autorizuar nga A në B, pa agjent të përbashkët kredencialesh dhe pa sinkronizim automatik skedarësh. Çdo klauzolë në atë fjali korrespondon me diçka që mund të konfigurohet dhe të testohet.

Më pas verifikoni rastet negative, jo vetëm ato pozitive. Provoni të arrini një burim që duhet të jetë jashtë kufirit, konfirmoni që shërbimi i hostit nuk përgjigjet nga ana tjetër, dhe kontrolloni që ndihmësi i kredencialeve nuk u shërben në heshtje të dy domeneve.

Mbajeni regjistrin me pajisjen, jo vetëm në tiketë, që personi i ardhshëm që trashëgon rregullimin të dijë cili kufi ishte i qëllimshëm. Një laptop me dy tunele dhe pa kufi të shkruar nuk dallohet nga një konfigurim i gabuar.