Dalawang VPN nang sabay? Tukuyin muna ang hangganan ng endpoint

Dalawang kliyenteng VPN na konektado nang sabay ay naglalagay ng isang endpoint sa dalawang domain ng resource, at tanong ito ng awtorisasyon bago maging tanong ng routing. Ang pagiging naka-encrypt ng mga tunnel ay walang sinasabi tungkol sa kung dapat maabot ng mga app sa laptop na iyon ang dalawang network, o kung dapat maabot ng peer ng isang network ang isa pa sa pamamagitan nito. Dumaan sa mga pagsusuri sa ibaba nang sunud-sunod at huminto sa unang hindi kayang sagutin ng kahit sino. Ang aprubahan ang overlap nang walang mga sagot na iyon ang paraan kung paano tahimik na nagiging tulay ang isang maginhawang kaayusan.

Magsimula sa tunay na gawain: anong mga resource sa bawat network ang kailangan ng tao, at pinapayagan ba ng dalawang may-ari ng network ang sabay na pag-access mula sa isang device?

Suriin kung sino ang pumapayag sa overlap

Dalawang network na bawat isa ay nagpapatotoo sa parehong user ay may hiwalay pa ring may-ari, at ang mga may-ari na iyon ay maaaring may hindi magkatugmang palagay tungkol sa mga device na konektado rin sa ibang lugar. Tanungin silang dalawa bago magdisenyo ng kahit ano. Ang patakaran sa remote access na isinulat para sa hiwalay na mga laptop ay kadalasang walang anumang sagot para sa makinang sabay na nasa loob ng network ng kasosyo.

Kunin ang sagot sa sulat at itago ito kasama ng talaan ng pagbabago. Kung ang isang panig ay tumanggi, ang natitirang bahagi ng listahang ito ay akademiko, at nakatipid ka sa iyong sarili ng isang pagsusuri ng disenyo.

Huwag ituring na router ang dalawang interface

Hindi awtomatikong nagiging router o Ethernet bridge ang device dahil sa dalawang aktibong interface. Suriin ang sinusuportahang pagsasaayos ng forwarding, bridging, NAT at proxy bago ilarawan ang anuman bilang transit path, at panatilihin ang anumang walang kaugnayang awtorisadong tungkulin sa routing na mayroon na ang device. Ang laptop na nagpapatakbo ng lokal na container network o host ng virtualization ay hindi neutral na tagamasid dito.

Kung ang pangangailangan ay tunay na transit mula A patungong B, iyon ay para sa isang network device na may may-ari, masusuri na set ng patakaran at proseso ng pagbabago. Ang gawin ito nang aksidente sa pamamagitan ng workstation ang resulta na umiiral ang pagsusuring ito upang pigilan.

Ituring din ang endpoint bilang access point

Ang device ay hindi lamang kliyente ng dalawang network; ito ay host na nag-aalok ng mga serbisyo. Ang isang pinapayagang serbisyo sa makinang iyon ay maaaring maabot mula sa isang VPN peer ayon sa firewall ng host at patakaran ng kliyente, kaya ang bukas na port ng pamamahala sa laptop ay bahagi na ngayon ng attack surface ng remote network. Ilahad kung ano ang nakikinig bago makipagtalo tungkol sa mga ruta, dahil ang isang nakataling debug port ay mas mabigat kaysa sa anumang patakaran ng tunnel. Panatilihing limitado ang mga serbisyo ng host sa kanilang inilaan na pinagmulan at layunin.

Ituring ang bawat remote network bilang domain ng resource na may malinaw na pahintulot sa halip na magbigay ng malawak na tiwala dahil dumating na naka-encrypt ang trapiko. Ang arkitekturang zero trust ng NIST ay naghihiwalay ng awtorisasyon ng resource mula sa implicit na tiwala sa lokasyon ng network, at iyon mismo ang pagkakaibang nilalabo ng laptop na may dalawang tunnel.

Magtanong pa ng isa habang nandito ka: kung ang isang lokal na serbisyo o awtorisadong app ay makompromiso, anong mga resource at kredensyal ang magiging maabot mula sa foothold na iyon? Isulat ang sagot, dahil iyon ang tunay na pahayag ng panganib para sa buong disenyo.

Piliin ang hangganan ng trabaho na umaangkop sa modelo ng pagbabanta

Ang routing kada app ay maaaring magtalaga ng mga programa sa inilaang tunnel, at ang hiwalay na work profile, user o sinusuportahang virtual workspace ay makakadagdag ng hangganan ng pagkakakilanlan at data depende sa platform. Itugma ang hangganan sa modelo ng pagbabanta hindi sa demo: ang paghahati ng routing na walang paghahati ng pagkakakilanlan ay nag-iiwan pa rin ng isang profile ng browser na may dalawang session.

Ang namespace ng network ay naghihiwalay ng routing at estado ng network; hindi nito hinihiwalay ang bawat landas ng file system, clipboard o ahente ng kredensyal. Ang virtual machine o pinamamahalaang profile ay nangangailangan din ng sinadyang patakaran sa pagbabahagi at pangangasiwa ng host. Itala kung aling mga folder, katulong sa pagpapatotoo at landas ng copy-paste ang nananatiling available, dahil ang mga channel na iyon ang tunay na nagdadala ng data sa pagitan ng dalawang domain.

Para sa sunud-sunod na trabaho, ang sinadyang paglipat ay karaniwang mas simple kaysa sa pagpapanatili ng sabay na pag-access. Tapusin ang nakasalalay na operasyon at pagkatapos ay i-verify ang pagkakakilanlan at ruta ng susunod na workspace sa halip na iwang nakakabit ang mga tool sa background sa isang malabong konteksto.

Isulat ang pag-apruba bilang gawain, hindi bilang slogan

Ang talaan ng pag-apruba ay dapat basahin na parang gawain: maaaring maabot ng workspace ng suporta ang console ng serbisyo ng Network A at ang portal ng ticket ng Network B, nang walang awtorisadong forwarding mula A patungong B, walang pinagsasaluhang ahente ng kredensyal at walang awtomatikong pag-sync ng file. Ang bawat sugnay sa pangungusap na iyon ay tumutugma sa isang bagay na maaari mong i-configure at subukan.

Pagkatapos ay i-verify ang mga negatibong kaso, hindi lamang ang mga positibo. Subukang maabot ang isang resource na dapat nasa labas ng hangganan, kumpirmahin na hindi tumutugon ang serbisyo ng host mula sa kabilang panig, at suriin na hindi palihim na naglilingkod ang katulong ng kredensyal sa dalawang domain.

Itago ang talaan kasama ng device, hindi lamang sa ticket, upang malaman ng susunod na taong magmamana ng kaayusan kung aling hangganan ang sinadya. Ang laptop na may dalawang tunnel at walang nakasulat na hangganan ay hindi makikilala mula sa maling pagsasaayos.