ใช้ VPN สองตัวพร้อมกัน? กำหนดขอบเขตของปลายทางก่อน

ไคลเอนต์ VPN สองตัวที่เชื่อมต่อพร้อมกันจะวางปลายทางหนึ่งจุดไว้ในโดเมนทรัพยากรสองโดเมน และนี่เป็นคำถามเรื่องการอนุญาตก่อนจะเป็นคำถามเรื่องการกำหนดเส้นทาง การที่อุโมงค์ถูกเข้ารหัสไม่ได้บอกอะไรเลยว่าแอปพลิเคชันบนแล็ปท็อปเครื่องนั้นควรเข้าถึงทั้งสองเครือข่ายได้หรือไม่ หรือเพื่อนร่วมเครือข่ายของเครือข่ายหนึ่งควรเข้าถึงอีกเครือข่ายผ่านมันได้หรือไม่ จงทำการตรวจสอบด้านล่างตามลำดับและหยุดที่ข้อแรกที่ไม่มีใครตอบได้ การอนุมัติการซ้อนทับโดยไม่มีคำตอบเหล่านั้นคือหนทางที่การจัดวางที่สะดวกจะกลายเป็นสะพานอย่างเงียบ ๆ

เริ่มจากงานจริง: คน ๆ นั้นต้องการทรัพยากรใดในแต่ละเครือข่าย และเจ้าของเครือข่ายทั้งสองฝ่ายอนุญาตให้เข้าถึงพร้อมกันจากอุปกรณ์เครื่องเดียวหรือไม่

ตรวจสอบว่าใครอนุญาตให้มีการซ้อนทับ

สองเครือข่ายที่ต่างยืนยันตัวตนผู้ใช้คนเดียวกันก็ยังมีเจ้าของแยกกัน และเจ้าของเหล่านี้อาจมีสมมติฐานที่เข้ากันไม่ได้เกี่ยวกับอุปกรณ์ที่เชื่อมต่ออยู่ที่อื่นด้วย ถามทั้งสองฝ่ายก่อนจะออกแบบสิ่งใด นโยบายการเข้าถึงระยะไกลที่เขียนขึ้นสำหรับแล็ปท็อปแบบแยกเดี่ยวมักไม่มีคำตอบเลยสำหรับเครื่องที่อยู่ภายในเครือข่ายของพันธมิตรพร้อมกัน

ขอคำตอบเป็นลายลักษณ์อักษรและเก็บไว้กับบันทึกการเปลี่ยนแปลง หากฝ่ายใดฝ่ายหนึ่งปฏิเสธ ส่วนที่เหลือของรายการนี้ก็เป็นเพียงทฤษฎี และคุณก็ประหยัดการทบทวนการออกแบบไปได้หนึ่งครั้ง

อย่าถือว่าอินเทอร์เฟซสองตัวเป็นเราเตอร์

อินเทอร์เฟซที่ใช้งานอยู่สองตัวไม่ได้ทำให้อุปกรณ์กลายเป็นเราเตอร์หรือบริดจ์อีเทอร์เน็ตโดยอัตโนมัติ ตรวจสอบการกำหนดค่าการส่งต่อ การทำบริดจ์ NAT และพร็อกซีที่รองรับก่อนจะอธิบายสิ่งใดว่าเป็นเส้นทางส่งผ่าน และรักษาหน้าที่การกำหนดเส้นทางที่ได้รับอนุญาตและไม่เกี่ยวข้องซึ่งอุปกรณ์มีอยู่แล้ว แล็ปท็อปที่รันเครือข่ายคอนเทนเนอร์ภายในหรือโฮสต์เสมือนไม่ใช่ผู้สังเกตการณ์ที่เป็นกลางในที่นี้

หากความต้องการคือการส่งผ่านจาก A ไปยัง B จริง ๆ สิ่งนั้นเป็นของอุปกรณ์เครือข่ายที่มีเจ้าของ ชุดกฎที่ตรวจสอบได้ และกระบวนการเปลี่ยนแปลง การทำโดยบังเอิญผ่านเวิร์กสเตชันคือผลลัพธ์ที่การตรวจสอบนี้มีอยู่เพื่อป้องกัน

ถือว่าปลายทางเป็นจุดเข้าถึงด้วย

อุปกรณ์ไม่ใช่เพียงไคลเอนต์ของทั้งสองเครือข่าย แต่เป็นโฮสต์ที่ให้บริการ บริการที่ได้รับอนุญาตบนเครื่องนั้นอาจเข้าถึงได้จากเพื่อน VPN ตามไฟร์วอลล์ของโฮสต์และนโยบายของไคลเอนต์ ดังนั้นพอร์ตการจัดการที่เปิดอยู่บนแล็ปท็อปจึงเป็นส่วนหนึ่งของพื้นผิวการโจมตีของเครือข่ายระยะไกลแล้ว ระบุสิ่งที่กำลังรับฟังก่อนจะโต้แย้งเรื่องเส้นทาง เพราะพอร์ตดีบักที่ผูกไว้หนึ่งพอร์ตมีน้ำหนักกว่าการกำหนดนโยบายอุโมงค์ใด ๆ รักษาบริการของโฮสต์ให้จำกัดอยู่ที่แหล่งที่มาและวัตถุประสงค์ที่ตั้งใจไว้

ถือว่าแต่ละเครือข่ายระยะไกลเป็นโดเมนทรัพยากรที่มีสิทธิ์ชัดเจนแทนที่จะให้ความไว้วางใจกว้าง ๆ เพราะการรับส่งข้อมูลมาถึงแบบเข้ารหัส สถาปัตยกรรมความไว้วางใจเป็นศูนย์ของ NIST แยกการอนุญาตทรัพยากรออกจากความไว้วางใจโดยนัยในตำแหน่งเครือข่าย และนั่นคือความแตกต่างที่แล็ปท็อปที่มีสองอุโมงค์ทำให้พร่ามัว

ถามอีกคำถามหนึ่งในขณะที่อยู่ที่นี่: หากบริการภายในหรือแอปพลิเคชันที่ได้รับอนุญาตถูกบุกรุก ทรัพยากรและข้อมูลรับรองใดจะเข้าถึงได้จากฐานที่มั่นนั้น จดคำตอบไว้ เพราะนั่นคือคำแถลงความเสี่ยงที่แท้จริงสำหรับการออกแบบทั้งหมด

เลือกขอบเขตการทำงานที่เข้ากับแบบจำลองภัยคุกคาม

การกำหนดเส้นทางตามแอปพลิเคชันสามารถกำหนดโปรแกรมให้กับอุโมงค์ที่ตั้งใจไว้ และโปรไฟล์การทำงาน ผู้ใช้ หรือพื้นที่ทำงานเสมือนที่รองรับสามารถเพิ่มขอบเขตตัวตนและข้อมูลได้ตามแพลตฟอร์ม จับคู่ขอบเขตกับแบบจำลองภัยคุกคามไม่ใช่กับการสาธิต: การแยกเส้นทางโดยไม่แยกตัวตนยังคงทำให้โปรไฟล์เบราว์เซอร์หนึ่งโปรไฟล์ถือทั้งสองเซสชัน

เนมสเปซเครือข่ายแยกการกำหนดเส้นทางและสถานะเครือข่าย แต่ไม่ได้แยกทุกเส้นทางของระบบไฟล์ คลิปบอร์ด หรือเอเจนต์ข้อมูลรับรอง เครื่องเสมือนหรือโปรไฟล์ที่จัดการก็ต้องการนโยบายการแบ่งปันและการบริหารโฮสต์อย่างตั้งใจเช่นกัน บันทึกว่าโฟลเดอร์ ตัวช่วยรับรองความถูกต้อง และเส้นทางการคัดลอกวางใดยังใช้ได้ เพราะช่องทางเหล่านั้นคือสิ่งที่นำข้อมูลระหว่างสองโดเมนจริง ๆ

สำหรับงานที่ทำตามลำดับ การสลับอย่างตั้งใจมักง่ายกว่าการรักษาการเข้าถึงพร้อมกัน ทำภารกิจที่พึ่งพาให้เสร็จแล้วตรวจสอบตัวตนและเส้นทางของพื้นที่ทำงานถัดไปแทนที่จะปล่อยเครื่องมือเบื้องหลังผูกอยู่กับบริบทที่คลุมเครือ

เขียนการอนุมัติเป็นงาน ไม่ใช่คำขวัญ

บันทึกการอนุมัติควรอ่านได้เหมือนงาน: พื้นที่ทำงานของฝ่ายสนับสนุนเข้าถึงคอนโซลบริการของเครือข่าย A และพอร์ทัลตั๋วของเครือข่าย B ได้ โดยไม่มีการส่งต่อที่ได้รับอนุญาตจาก A ไปยัง B ไม่มีเอเจนต์ข้อมูลรับรองที่ใช้ร่วมกัน และไม่มีการซิงค์ไฟล์อัตโนมัติ ทุกอนุประโยคในประโยคนั้นสอดคล้องกับสิ่งที่คุณกำหนดค่าและทดสอบได้

จากนั้นตรวจสอบกรณีเชิงลบ ไม่ใช่แค่กรณีเชิงบวก พยายามเข้าถึงทรัพยากรที่ควรอยู่นอกขอบเขต ยืนยันว่าบริการของโฮสต์ไม่ตอบกลับจากอีกด้าน และตรวจสอบว่าตัวช่วยข้อมูลรับรองไม่ได้ให้บริการทั้งสองโดเมนอย่างเงียบ ๆ

เก็บบันทึกไว้กับอุปกรณ์ ไม่ใช่แค่ในตั๋ว เพื่อให้คนถัดไปที่สืบทอดการจัดวางนี้รู้ว่าขอบเขตใดเป็นความตั้งใจ แล็ปท็อปที่มีสองอุโมงค์และไม่มีขอบเขตเป็นลายลักษณ์อักษรแยกไม่ออกจากความผิดพลาดในการกำหนดค่า