Två VPN samtidigt? Definiera först slutpunktens gräns

Två VPN-klienter som är anslutna samtidigt placerar en slutpunkt i två resursdomäner, och det är en auktoriseringsfråga innan det är en routningsfråga. Att tunnlarna är krypterade säger ingenting om huruvida applikationerna på den bärbara datorn bör kunna nå båda nätverken, eller om en peer i det ena nätverket bör kunna nå det andra genom den. Gå igenom kontrollerna nedan i ordning och stanna vid den första som ingen kan svara på. Att godkänna överlappningen utan de svaren är hur ett bekvämt upplägg tyst blir en bro.

Börja med det faktiska arbetet: vilka resurser i varje nätverk personen behöver, och tillåter båda nätägarna samtidig åtkomst från en enhet.

Kontrollera vem som tillåter överlappningen

Två nätverk som vart och ett autentiserar samma användare har fortfarande separata ägare, och dessa ägare kan ha oförenliga antaganden om enheter som också är anslutna någon annanstans. Fråga båda innan du designar något. En policy för fjärråtkomst skriven för isolerade bärbara datorer har ofta inget svar alls för en maskin som samtidigt befinner sig i ett partnernätverk.

Skaffa svaret skriftligt och förvara det tillsammans med ändringsregistret. Om ena sidan säger nej är resten av listan akademisk, och du har sparat dig en designgenomgång.

Behandla inte två gränssnitt som en router

Två aktiva gränssnitt gör inte automatiskt enheten till en router eller en Ethernet-brygga. Kontrollera den stödda konfigurationen för vidarebefordran, bryggning, NAT och proxy innan du beskriver något som en transitväg, och bevara eventuella oberoende auktoriserade routningsuppgifter som enheten redan har. En bärbar dator som kör ett lokalt containernätverk eller en virtualiseringsvärd är inte en neutral observatör här.

Om kravet verkligen är transit från A till B hör det hemma på en nätverksenhet med ägare, ett granskningsbart regelverk och en ändringsprocess. Att göra det av misstag via en arbetsstation är det resultat som denna kontroll finns för att förhindra.

Behandla slutpunkten också som en åtkomstpunkt

Enheten är inte bara klient i båda nätverken; den är en värd som erbjuder tjänster. En tillåten tjänst på den maskinen kan vara nåbar från en VPN-peer enligt värdens brandvägg och klientpolicyn, så en öppen hanteringsport på den bärbara datorn är nu en del av fjärrnätverkets attackyta. Lista vad som lyssnar innan du diskuterar rutter, eftersom en bunden felsökningsport väger tyngre än någon tunnelpolicy. Håll värdtjänster begränsade till deras avsedda källor och syften.

Behandla varje fjärrnätverk som en resursdomän med uttryckliga behörigheter i stället för att ge brett förtroende för att trafiken kom krypterad. NIST:s nolltillitsarkitektur skiljer resursauktorisering från implicit förtroende för nätverksplats, och det är precis den skillnaden en bärbar dator med två tunnlar suddar ut.

Ställ en fråga till medan du är här: om en lokal tjänst eller ett auktoriserat program komprometterades, vilka resurser och autentiseringsuppgifter skulle bli nåbara från det fotfästet? Skriv ner svaret, för det är den verkliga riskbeskrivningen för hela designen.

Välj den arbetsgräns som passar hotmodellen

Routning per app kan tilldela program till de avsedda tunnlarna, och separata arbetsprofiler, användare eller stödda virtuella arbetsytor kan lägga till identitets- och datagränser beroende på plattform. Anpassa gränsen till hotmodellen och inte till demon: en routningsdelning utan identitetsdelning lämnar fortfarande en webbläsarprofil med båda sessionerna.

Ett nätverksnamnrymd isolerar routning och nätverkstillstånd; det isolerar inte varje filsystemsökväg, urklipp eller autentiseringsagent. En virtuell maskin eller en hanterad profil behöver på samma sätt en medveten delnings- och värdadministrationspolicy. Registrera vilka mappar, autentiseringshjälpare och kopiera-och-klistra-vägar som förblir tillgängliga, eftersom det är kanalerna som faktiskt bär data mellan de två domänerna.

För sekventiellt arbete är ett medvetet byte vanligtvis enklare än att upprätthålla samtidig åtkomst. Slutför den beroende operationen och verifiera sedan identiteten och rutten för nästa arbetsyta i stället för att lämna bakgrundsverktyg kopplade till en tvetydig kontext.

Skriv godkännandet som en uppgift, inte som en slogan

En godkännandepost bör läsas som en uppgift: supportarbetsytan får nå tjänstekonsolen för Nätverk A och biljettportalen för Nätverk B, utan auktoriserad vidarebefordran från A till B, utan delad autentiseringsagent och utan automatisk filsynkronisering. Varje sats i den meningen motsvarar något du kan konfigurera och testa.

Verifiera sedan de negativa fallen, inte bara de positiva. Försök nå en resurs som borde ligga utanför gränsen, bekräfta att värdtjänsten inte svarar från andra sidan, och kontrollera att autentiseringshjälparen inte i tysthet betjänar båda domänerna.

Förvara registreringen med enheten, inte bara i biljetten, så att nästa person som ärver upplägget vet vilken gräns som var medveten. En bärbar dator med två tunnlar och utan skriftlig gräns går inte att skilja från en felaktig konfiguration.