วางเกตเวย์ VPN ไว้ข้าง Windows XP ไม่ใช่ข้างใน

ที่ใดที่หนึ่งในอาคารมีเครื่องที่รันแอปพลิเคชันซึ่งไม่มีใครแทนที่ได้ บนระบบปฏิบัติการที่ไม่ควรเชื่อมต่อกับสิ่งใดเลย การเดินออกจากอะแดปเตอร์เครือข่ายของโฮสต์นั้นเป็นวิธีที่เร็วที่สุดในการดูว่าอุโมงค์ควรอยู่ที่ไหน ในการออกแบบส่วนใหญ่ อุโมงค์ไม่ได้อยู่บนโฮสต์เลย ย้ายมันไปหนึ่งก้าวไปยังเกตเวย์ที่ดูแลอยู่ และปัญหาเก่าจะหดกลับไปเหลือแอปพลิเคชันที่มันเริ่มต้น

เริ่มที่อะแดปเตอร์ของโฮสต์ ไม่ใช่ที่ไคลเอนต์ VPN

เปิดคุณสมบัติของอะแดปเตอร์และให้ที่อยู่คงที่แก่โฮสต์บนเซกเมนต์เล็กๆ ที่อุทิศให้ โดยมีเกตเวย์เป็นเส้นทางเริ่มต้น จากนั้นโฮสต์ไม่ต้องมีไคลเอนต์อุโมงค์ ไม่ต้องมีข้อมูลรับรองอุโมงค์ และไม่ต้องมีรายการตารางเส้นทางที่วิ่งเข้าเครือข่ายองค์กรที่กว้างกว่า ถ้าแอปพลิเคชันต้องการซับเน็ตระยะไกลหนึ่งซับเน็ต ให้เพิ่มเส้นทางนั้นเพียงเส้นเดียว

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

คำสั่งนั้นตรึงปลายทางเดียวไว้กับเกตเวย์และปล่อยอย่างอื่นทั้งหมดโดยไม่มีเส้นทาง ซึ่งเป็นรูปทรงที่ต้องการ ยืนยันผลด้วย route print แทนการเชื่อถือรหัสออก จากนั้นตรวจสอบว่าแอปพลิเคชันยังแก้ชื่อเซิร์ฟเวอร์ของตนได้ เพราะโฮสต์เก่าที่ตัวแก้ชื่อเสียดูเหมือนความล้มเหลวของเครือข่ายทุกประการ และการซ่อมตัวแก้ชื่อเป็นงานห้านาที ในขณะที่การสร้างแอปพลิเคชันใหม่หลังการเปลี่ยนเครือข่ายผิดพลาดไม่ใช่ ทุกปลายทางที่โฮสต์ไปไม่ถึงคือสิ่งหนึ่งที่น้อยลงซึ่งสแต็กเครือข่ายเก่าอาจถูกชักจูงให้โจมตี

วางอุโมงค์บนฮาร์ดแวร์ที่อัปเดตได้

เกตเวย์ต้องการอินเทอร์เฟซสองตัว ตัวหนึ่งหันไปทางเซกเมนต์ของโฮสต์และอีกตัวหันไปทางที่ที่แอปพลิเคชันอาศัยอยู่ โดยอุโมงค์สิ้นสุดที่ตัวที่สอง อุปกรณ์นั้นรับอัปเดตเฟิร์มแวร์ เปลี่ยนการกำหนดค่าทางวิทยาการเข้ารหัส และบันทึกโฟลว์ได้ โดยไม่มีใครแตะเครื่องเก่า ผู้จำหน่ายยังส่งการแก้ไขสำหรับการใช้งานอุโมงค์ ซึ่งโฮสต์จะไม่ได้รับเลย เครื่องสองเครื่องและกำหนดเวลาหนึ่งครั้งไม่ใช่เหตุผลที่จะคัดลอกสูตรความลับแบบคงที่จากโพสต์ฟอรัม

ให้แต่ละเกตเวย์มีเอกลักษณ์ของเพียร์ของตัวเอง แทนการโคลนการกำหนดค่าไคลเอนต์หนึ่งชุดไปทั้งฟลีต เมื่อเปลี่ยนหน่วย ให้เพิกถอนเอกลักษณ์เก่าในขณะเดียวกับที่นำตัวใหม่ขึ้นออนไลน์ ไม่อย่างนั้นจะเหลือสำเนาที่ไม่ถูกควบคุมสองชุดที่พิสูจน์ตัวกับปลายทางเดียวกัน เก็บกุญแจไว้ที่ที่ระนาบการจัดการของเกตเวย์คาดหวัง ปฏิบัติต่อสำรองการกำหนดค่าเป็นความลับ และทบทวนว่าใครสามารถส่งการกำหนดค่านั้นได้ เพราะตอนนี้มันกำหนดว่าโฮสต์เก่าเข้าถึงอะไรได้

อนุญาตบริการ ไม่ใช่เครือข่าย

เขียนนโยบายในแง่ของโปรโตคอล พอร์ต และทิศทางระหว่างการเชื่อมต่อสองจุด พอร์ตเดียวที่อนุญาตไปยังที่อยู่แอปพลิเคชันเดียวคือคำตอบปกติ และเส้นทางบริหารผ่านโฮสต์กระโดดครอบคลุมส่วนที่เหลือ

การดูแลระยะไกลของโฮสต์เก่าไม่ควรใช้กฎเดียวกับแอปพลิเคชัน และการทดสอบการปฏิเสธสำคัญพอๆ กับการเขียนกฎ ส่งคำขอหนึ่งรายการจากโฮสต์ไปยังปลายทางที่คาดว่าจะถูกปฏิเสธ และยืนยันว่าการปฏิเสธมาจากนโยบาย ไม่ใช่จากเส้นทางที่หายไป บันทึกโฟลว์ที่อนุญาตในขณะที่การออกแบบยังใหม่ เพื่อให้เห็นว่าแอปพลิเคชันใช้จริงอะไร ไม่ใช่สิ่งที่เอกสารอ้าง การรวมซับเน็ตสองซับเน็ตเพราะบทช่วยสอนแบบบริดจ์ดูสั้นกว่าคือวิธีที่เซกเมนต์เก่ากลายเป็นฐานที่มั่นอย่างเงียบๆ

อย่าเปิดเผยตัวรับฟังเก่าโดยตรงสู่อินเทอร์เน็ตเป็นทางลัดรอบเกตเวย์ แยกเส้นทางบริหารออกจากเส้นทางแอปพลิเคชัน เพื่อให้การถูกเจาะของฝั่งหนึ่งไม่มอบอีกฝั่ง กฎที่ไม่เคยถูกใช้คือกฎที่ไม่มีใครตรวจสอบ ซึ่งเป็นเหตุผลว่าปลายทางที่ถูกปฏิเสธจึงอยู่ในการรันตอบรับ

การกู้คืนต้องทำงานได้โดยไม่มีอุโมงค์

ตัดสินใจว่าใครอัปเดตและกู้คืนเกตเวย์ก่อนเหตุขัดข้องครั้งแรก และให้แน่ใจว่าคนนั้นเข้าถึงมันได้โดยไม่ต้องใช้อุโมงค์ที่มันสิ้นสุด การเข้าถึงคอนโซล พอร์ตจัดการภายใน หรือเส้นทางนอกแบนด์ล้วนเป็นคำตอบ เกตเวย์ที่กำหนดค่าได้เฉพาะผ่านอุโมงค์ที่มันให้บริการคือกับดักที่รอการผลักเฟิร์มแวร์แย่ๆ อย่างอดทน

เขียนคู่มือสำหรับความล้มเหลวที่คุณจะพบจริง อุโมงค์ล่ม เกตเวย์ตาย ดิสก์โฮสต์หาย เก็บอิมเมจกู้คืนของโฮสต์ไว้ภายใต้ข้อตกลงสนับสนุนใดก็ตามที่ยังมีอยู่ และจำไว้ว่าการกู้คืนยังคืนสถานะซอฟต์แวร์และข้อมูลรับรองในอิมเมจนั้นด้วย กู้คืนไปยังเซกเมนต์ที่แยกออกก่อน ยืนยันว่าแอปพลิเคชันเริ่มทำงาน แล้วจึงเชื่อมต่ออะไรก็ตามกลับ เมื่อเกตเวย์เปลี่ยน ให้อัปเดตคู่มือและบัญชีสินค้าในการนั่งเดียวกัน

ใบรับรอง นาฬิกา และคำเตือนลายเซ็น

การหมดอายุของใบรับรองตัวติดตั้งไม่ได้ทำนายล่วงหน้าว่าการตรวจลายเซ็นจะพูดอะไรวันนี้ คำแนะนำของ Microsoft เกี่ยวกับการประทับเวลาของ Authenticode อธิบายว่าการประทับเวลาสามารถทำให้ลายเซ็นยังตรวจสอบได้หลังใบรับรองการลงนามหมดอายุ และการตรวจสอบยังขึ้นอยู่กับลายเซ็น ห่วงโซ่ความเชื่อถือ และผู้ตรวจสอบที่ทำงาน เครื่องสองเครื่องที่มีที่เก็บความเชื่อถือต่างกันจึงอาจไม่เห็นด้วยกับไฟล์เดียวกัน ผู้ลงนามที่หมดอายุไม่ใช่หลักฐานว่าไบนารีเป็นอันตราย และลายเซ็นที่ถูกต้องไม่ใช่หลักฐานว่าซอฟต์แวร์ได้รับการดูแล

อย่าถอยนาฬิกาของระบบหรือปิดการตรวจลายเซ็นเพื่อให้ตัวติดตั้งเก่าทำงาน รับสิ่งประดิษฐ์ที่ได้รับอนุญาตจากผู้ที่ยังสนับสนุนแอปพลิเคชัน และให้พวกเขาบอกว่าแพลตฟอร์มยอมรับอะไร ถือว่าโพสต์ที่อ้างว่าบิลด์หนึ่งเป็นตัวสุดท้ายสำหรับ XP เป็นประวัติศาสตร์ ไม่ใช่เป้าหมายการติดตั้ง เพราะข้อกำหนดจริงขึ้นอยู่กับแอปพลิเคชัน หากจำเป็นต้องทำงานอนุรักษ์จริงๆ ให้เก็บไว้บนเซกเมนต์ที่แยกออกห่างจากการเข้าถึงการผลิตและบันทึกว่าเหตุใดจึงมีอยู่