Два VPN-а истовремено? Прво дефинишите границу крајње тачке

Два истовремено повезана VPN клијента стављају једну крајњу тачку у два домена ресурса, а то је питање ауторизације пре него питање рутирања. То што су тунели шифровани не говори ништа о томе треба ли апликације на том лаптопу да достигну обе мреже, нити треба ли партнер једне мреже да кроз њега достигне другу. Прођите контроле испод редом и зауставите се на првој на коју нико не може да одговори. Одобравање преклапања без тих одговора је пут на коме уредан распоред тихо постаје мост.

Почните од стварног посла: који су ресурси у свакој мрежи потребни особи и да ли оба власника мрежа дозвољавају истовремени приступ са једног уређаја.

Проверите ко дозвољава преклапање

Две мреже које свака понаособ аутентификују истог корисника и даље имају одвојене власнике, а ти власници могу имати неспојиве претпоставке о уређајима који су повезани и на другом месту. Питајте обојицу пре него што било шта дизајнирате. Политика удаљеног приступа написана за изоловане лаптопове често уопште нема одговор за машину која је истовремено унутар партнерске мреже.

Прибавите одговор у писаној форми и чувајте га уз запис о промени. Ако једна страна каже не, остатак овог списка је академски и уштедели сте себи преглед дизајна.

Не третирајте два интерфејса као рутер

Два активна интерфејса не чине уређај аутоматски рутером ни Ethernet мостом. Проверите подржану конфигурацију прослеђивања, моста, NAT-а и проксија пре него што било шта опишете као транзитну путању, и сачувајте све неповезане овлашћене задатке рутирања које уређај већ има. Лаптоп на коме ради локална контејнерска мрежа или хост за виртуелизацију овде није неутрални посматрач.

Ако захтев заиста јесте транзит од A до B, његово место је на мрежном уређају са власником, проверивим скупом правила и процесом промене. Случајно то учинити преко радне станице је исход који ова провера постоји да спречи.

Третирајте крајњу тачку и као приступну тачку

Уређај није само клијент обе мреже; он је хост који нуди услуге. Дозвољена услуга на тој машини може бити доступна VPN партнеру према заштитном зиду хоста и политици клијента, па је отворен порт за управљање на лаптопу сада део нападне површине удаљене мреже. Наведите шта слуша пре него што расправљате о путањама, јер један везан порт за отклањање грешака тежи од било које политике тунела. Ограничите услуге хоста на њихове предвиђене изворе и сврхе.

Третирајте сваку удаљену мрежу као домен ресурса са изричитим дозволама уместо да дајете широко поверење зато што је саобраћај стигао шифрован. Архитектура нултог поверења NIST-а одваја ауторизацију ресурса од имплицитног поверења у мрежну локацију, и управо ту разлику лаптоп са два тунела замагљује.

Поставите још једно питање док сте овде: ако локална услуга или овлашћена апликација буде компромитована, који ресурси и акредитиви би постали доступни са тог упоришта? Запишите одговор, јер је то права изјава о ризику за цео дизајн.

Изаберите радну границу која одговара моделу претњи

Рутирање по апликацији може да додели програме предвиђеним тунелима, а одвојени радни профили, корисници или подржани виртуелни радни простори могу да додају границе идентитета и података у зависности од платформе. Ускладите границу са моделом претњи, а не са демонстрацијом: подела рутирања без поделе идентитета и даље оставља један профил прегледача са обе сесије.

Мрежни простор имена изолује рутирање и мрежно стање; не изолује сваку путању система датотека, привремену меморију ни агента акредитива. Виртуелна машина или управљани профил такође захтевају промишљену политику дељења и администрације хоста. Запишите које фасцикле, помагачи за аутентификацију и путање копирања и лепљења остају доступни, јер су то канали који заиста преносе податке између два домена.

За узастопни рад, намерно пребацивање је обично једноставније од одржавања истовременог приступа. Завршите зависну операцију и затим проверите идентитет и путању следећег радног простора уместо да оставите позадинске алате везане за двосмислен контекст.

Напишите одобрење као задатак, а не као паролу

Запис о одобрењу треба да се чита као задатак: радни простор подршке сме да достигне конзолу услуга мреже A и портал тикета мреже B, без овлашћеног прослеђивања од A до B, без заједничког агента акредитива и без аутоматске синхронизације датотека. Свака клаузула те реченице одговара нечему што можете да конфигуришете и тестирате.

Затим проверите негативне случајеве, а не само позитивне. Покушајте да достигнете ресурс који треба да буде изван границе, потврдите да услуга хоста не одговара са друге стране и проверите да помагач акредитива тихо не услужује оба домена.

Чувајте запис уз уређај, а не само у тикету, да би следећа особа која наследи распоред знала која је граница била намерна. Лаптоп са два тунела и без писане границе не разликује се од погрешне конфигурације.