Поставите VPN пролаз поред Windows XP, а не унутар њега

Негде у згради стоји машина која покреће апликацију коју нико не може заменити, на оперативном систему који не би требало повезивати ни са чим. Излазак од мрежног адаптера тог домаћина је најбржи начин да се види где тунел припада. У већини пројеката он уопште не припада домаћину. Преместите га један корак даље, на одржавани пролаз, и стари проблем се смањује назад на апликацију с којом је почео.

Почните од адаптера домаћина, а не од VPN клијента

Отворите својства адаптера и дајте домаћину фиксну адресу у малом наменском сегменту, с пролазом као његовом подразумеваном путањом. Домаћин тада не треба клијент тунела, акредитиве тунела ни уносе у табелу рутирања ка широј корпоративној мрежи. Ако апликацији треба једна удаљена подмрежа, додајте тачно ту једну путању.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Та команда причвршћује једно одредиште на пролаз и оставља све остало без путање, и то је жељени облик. Потврдите резултат помоћу route print уместо да верујете излазном коду. Затим проверите да ли апликација још увек разрешава име свог сервера, јер стари домаћин са поквареним разрешивачем изгледа тачно као мрежни квар, а поправка разрешивача је петоминутни посао, док поновна изградња апликације после погрешне мрежне промене није. Свако одредиште до којег домаћин не може да стигне је једна ствар мање на коју се стари мрежни стек може наговорити да нападне.

Ставите тунел на хардвер који можете да ажурирате

Пролаз жели два интерфејса: један према сегменту домаћина и један према месту где апликација живи, с тунелом који се завршава на другом. Тај уређај може да прима ажурирања фирмвера, замени своју криптографску конфигурацију и бележи токове без да ико дира стару машину. Његов добављач такође испоручује исправке за имплементацију тунела, које домаћин никада неће добити. Две машине и рок нису разлог да копирате рецепт са статичном тајном са форумске објаве.

Дајте сваком пролазу сопствени идентитет партнера уместо да клонирате једну конфигурацију клијента на целу флоту. Када се јединица замени, опозовите стари идентитет у истом тренутку када нови ставите на мрежу, иначе остају две неконтролисане копије које се аутентификују на истој крајњој тачки. Чувајте кључеве тамо где их очекује управљачка раван пролаза, третирајте резервну копију конфигурације као тајну и прегледајте ко може да пошаље ту конфигурацију, јер она сада одређује до чега стари домаћин може да стигне.

Дозволите услуге, не мреже

Напишите политику у смислу протокола, порта и смера између два повезивања. Један дозвољени порт ка једној адреси апликације је уобичајен одговор, а административна путања кроз скоковитог домаћина покрива остатак.

Даљинска администрација старог домаћина не би требало да иде по истом правилу као апликација, а тестирање одбијања је једнако важно као писање правила. Пошаљите један захтев са домаћина на одредиште за које очекујете одбијање и потврдите да одбијање долази из политике, а не из путање која недостаје. Бележите токове које дозвољавате док је пројекат нов, да бисте видели шта апликација заиста користи, а не шта њена документација тврди. Спајање две подмреже зато што је мостни туторијал изгледао краће је начин на који стари сегмент тихо постаје одскочна даска.

Не излажите стари слушалац директно интернету као пречицу око пролаза. Држите административну путању одвојену од путање апликације, да компромитација једне не преда другу. Правило које се никада не извршава је правило које нико није проверио, зато одбијено одредиште припада пријемном току.

Опоравак мора да ради без тунела

Одлучите ко ажурира и опоравља пролаз пре првог прекида и уверите се да та особа може да му приступи без тунела који он завршава. Приступ конзоли, локални управљачки порт или ванпојасна путања сви се рачунају као одговори. Пролаз који се може конфигурисати само кроз тунел који пружа је замка која стрпљиво чека лош фирмвер push.

Напишите приручник за квар са којим ћете се заиста сусрести: тунел доле, пролаз мртав, диск домаћина нестао. Чувајте слику за опоравак домаћина у оквиру било ког споразума о подршци који још постоји и запамтите да опоравак враћа и софтверско стање и акредитиве у тој слици. Прво опоравите на изолованом сегменту, потврдите да се апликација покреће и тек онда поново повежите било шта; када се пролаз промени, ажурирајте приручник и инвентар у истој седници.

Сертификати, часовници и упозорења о потпису

Истек сертификата инсталера сам по себи не предвиђа шта ће данас рећи провера потписа. Упутство Microsoft-а о временским ознакама Authenticode објашњава да временска ознака може да одржи потпис проверљивим након истека сертификата за потписивање, а валидација и даље зависи од потписа, ланца поверења и проверавача који обавља посао. Зато две машине са различитим складиштима поверења могу да се не сложе око истог фајла. Истекли потписник није доказ да је бинарни фајл злонамеран, а важећи потпис није доказ да се софтвер одржава.

Не померајте системски сат уназад и не искључујте провере потписа да би стари инсталер радио. Набавите овлашћени артефакт од онога ко још подржава апликацију и пустите их да кажу шта платформа прихвата. Објаве које тврде да је одређени билд био последњи за XP третирајте као историју, а не као циљ инсталације, јер стварни захтев зависи од апликације; ако је рад на очувању заиста потребан, држите га на изолованом сегменту далеко од производног приступа и документујте зашто постоји.