Vendoseni portën VPN pranë Windows XP, jo brenda tij

Diku në ndërtesë qëndron një makinë që ekzekuton një aplikacion që askush nuk mund ta zëvendësojë, mbi një sistem operativ që nuk duhet të lidhet me asgjë. Të ecësh nga përshtatësi i rrjetit i atij hosti është mënyra më e shpejtë për të parë ku i takon tuneli. Në shumicën e modeleve nuk i takon fare hostit. Zhvendoseni një hap më tutje, në një portë të mirëmbajtur, dhe problemi i vjetër tkurret përsëri në aplikacionin me të cilin filloi.

Filloni te përshtatësi i hostit, jo te një klient VPN

Hapni vetitë e përshtatësit dhe jepini hostit një adresë fikse në një segment të vogël të dedikuar, me portën si rrugën e tij të paracaktuar. Atëherë hosti nuk ka nevojë për klient tuneli, kredenciale tuneli ose hyrje në tabelën e rrugëve drejt rrjetit më të gjerë korporativ. Nëse aplikacioni ka nevojë për një nënrrjet të vetëm në distancë, shtoni pikërisht atë rrugë të vetme.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ai komandë fikson një destinacion të vetëm te porta dhe lë gjithçka tjetër pa rrugë, dhe kjo është forma që dëshironi. Konfirmoni rezultatin me route print në vend që t'i besoni kodit të daljes. Më pas kontrolloni që aplikacioni ende zgjidh emrin e serverit të tij, sepse një host i vjetër me një zgjidhës të prishur duket saktësisht si një dështim rrjeti, dhe rregullimi i zgjidhësit është punë pesë minutash, ndërsa rindërtimi i një aplikacioni pas një ndryshimi të gabuar të rrjetit nuk është. Çdo destinacion që hosti nuk arrin është një gjë më pak për të cilën mund të bindet një stivë e vjetër rrjeti të sulmojë.

Vendoseni tunelin në harduer që mund ta përditësoni

Porta kërkon dy ndërfaqe: një përballë segmentit të hostit dhe një përballë vendit ku jeton aplikacioni, me tunelin që përfundon në të dytën. Ai pajisje mund të marrë përditësime firmware, të zëvendësojë konfigurimin e tij kriptografik dhe të regjistrojë rrjedhat pa prekur askush makinën e vjetër. Furnizuesi i saj dërgon gjithashtu korrigjime për zbatimin e tunelit, të cilat hosti nuk do t'i marrë kurrë. Dy makina dhe një afat nuk janë arsye për të kopjuar një recetë me sekret statik nga një postim forumi.

Jepini çdo porte identitetin e vet të bashkëmendimtarit, në vend që të klononi një konfigurim klienti në të gjithë flotën. Kur zëvendësohet një njësi, revokoni identitetin e vjetër në të njëjtin moment që vini në linjë të renum, përndryshe mbeteni me dy kopje të pakontrolluara që autentikohen në të njëjtin pikë fundore. Ruani çelësat atje ku i pret rrafshi i menaxhimit i portës, trajtojeni një kopje rezervë të konfigurimit si sekret dhe rishikoni kush mund ta dërgojë atë konfigurim, sepse tani ai vendos deri ku mund të arrijë hosti i vjetër.

Lejoni shërbime, jo rrjete

Shkruani politikën në terma të protokollit, portit dhe drejtimit midis dy lidhjeve. Një port i vetëm i lejuar drejt një adrese të vetme aplikacioni është përgjigjja e zakonshme, dhe një rrugë administrative përmes një hosti kërcimi mbulon pjesën tjetër.

Administrimi në distancë i hostit të vjetër nuk duhet të udhëtojë me të njëjtin rregull si aplikacioni, dhe testimi i refuzimit ka po aq rëndësi sa shkrimi i rregullit. Dërgoni një kërkesë nga hosti drejt një destinacioni që prisni të refuzohet dhe konfirmoni se refuzimi vjen nga politika dhe jo nga një rrugë që mungon. Regjistroni rrjedhat që lejoni ndërsa dizajni është i ri, që të shihni çfarë përdor vërtet aplikacioni dhe jo çfarë pretendon dokumentacioni i tij. Bashkimi i dy nënrrjeteve sepse një tutorial me urë dukej më i shkurtër është mënyra se si një segment i vjetër bëhet në heshtje një pikë mbështetjeje.

Mos e ekspozoni dëgjuesin e vjetër drejtpërdrejt në internet si një shkurtore rreth portës. Mbajeni rrugën administrative të ndarë nga rruga e aplikacionit, që kompromisi i njërës të mos e dorëzojë tjetrën. Një rregull që nuk ushtrohet kurrë është një rregull që askush nuk e ka verifikuar, prandaj destinacioni i refuzuar i takon ekzekutimit të pranimit.

Rikuperimi duhet të funksionojë pa tunelin

Vendosni kush e përditëson dhe e rikuperon portën përpara ndërprerjes së parë dhe sigurohuni që ai person mund t'i afrohet pa tunelin që ajo përfundon. Qasja në konsolë, një port lokal menaxhimi ose një rrugë jashtë brezit të gjitha numërohen si përgjigje. Një portë që mund të konfigurohet vetëm përmes tunelit që ajo ofron është një kurth që pret me durim një shtytje të keqe firmware.

Shkruani runbook-un për dështimin që do të takoni vërtet: tunnel poshtë, portë e vdekur, disku i hostit zhdukur. Mbajeni imazhin e rikuperimit të hostit në kuadër të çdo marrëveshjeje mbështetjeje që ekziston ende, dhe mbani mend se një restaurim rikthen edhe gjendjen e softuerit dhe kredencialet brenda atij imazhi. Restauroni fillimisht në segmentin e izoluar, konfirmoni se aplikacioni nis dhe vetëm atëherë rilidhni diçka; kur porta ndryshon, përditësoni runbook-un dhe inventarin në të njëjtin sesion.

Certifikatat, orët dhe paralajmërimet e nënshkrimit

Skadimi i certifikatës së një instaluesi nuk parashikon vetë se çfarë do të thotë sot një kontroll nënshkrimi. Udhëzimi i Microsoft për vulat kohore të Authenticode shpjegon se një vulë kohore mund ta mbajë një nënshkrim të verifikueshëm pasi certifikata e nënshkrimit skadon, dhe validimi ende varet nga nënshkrimi, zinxhiri i besimit dhe verifikuesi që bën punën. Prandaj dy makina me depo besimi të ndryshme mund të mos bien dakord për të njëjtin skedar. Një nënshkrues i skaduar nuk është provë se një binar është keqdashës, dhe një nënshkrim i vlefshëm nuk është provë se softueri mirëmbahet.

Mos e ktheni orën e sistemit prapa dhe mos i fikni kontrollet e nënshkrimit për të bërë të funksionojë një instalues i vjetër. Merrni një artefakt të autorizuar nga kushdo që ende e mbështet aplikacionin dhe lërini të thonë çfarë pranon platforma. Trajtojini si histori, jo si objektiv instalimi, postimet që pretendojnë se një ndërtim i caktuar ishte i fundit për XP, sepse kërkesa reale varet nga aplikacioni; nëse puna e ruajtjes është vërtet e nevojshme, mbajeni në një segment të izoluar larg qasjes së prodhimit dhe dokumentoni pse ekziston.