Ilagay ang VPN gateway sa tabi ng Windows XP, hindi sa loob nito

Sa isang lugar sa gusali may isang makinang nagpapatakbo ng aplikasyong walang sinumang makapagpapalit, sa isang operating system na hindi dapat ikonekta sa anuman. Ang paglabas mula sa network adapter ng host na iyon ang pinakamabilis na paraan upang makita kung saan dapat ang tunnel. Sa karamihan ng disenyo wala ito sa host. Ilipat ito nang isang hakbang palayo sa isang pinapanatiling gateway, at ang lumang problema ay liliit pabalik sa aplikasyong pinagmulan nito.

Magsimula sa adapter ng host, hindi sa VPN client

Buksan ang mga property ng adapter at bigyan ang host ng fixed address sa maliit na dedicated segment, kasama ang gateway bilang default route nito. Hindi na kailangan ng host ang tunnel client, tunnel credentials o mga entry sa routing table patungo sa mas malawak na corporate network. Kung kailangan ng aplikasyon ng isang remote subnet, idagdag lamang ang eksaktong isang ruta na iyon.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Ang command na iyon ay nagpapatong ng isang destinasyon sa gateway at iniiwan ang lahat ng iba na walang ruta, at iyon ang hugis na gusto mo. Kumpirmahin ang resulta gamit ang route print sa halip na magtiwala sa exit code. Pagkatapos ay tingnan kung nire-resolve pa ng aplikasyon ang pangalan ng server nito, dahil ang lumang host na may sirang resolver ay mukhang eksaktong network failure, at ang pag-aayos ng resolver ay limang minutong trabaho samantalang ang muling pagbuo ng aplikasyon pagkatapos ng maling pagbabago sa network ay hindi. Bawat destinasyon na hindi maabot ng host ay isang bagay na mas kaunti na maaaring hikayatin ang lumang network stack na atakihin.

Ilagay ang tunnel sa hardware na maaari mong i-update

Gusto ng gateway ng dalawang interface: isa patungo sa host segment at isa patungo sa lugar kung saan nakatira ang aplikasyon, at ang tunnel ay nagtatapos sa pangalawa. Ang device na iyon ay maaaring tumanggap ng firmware update, palitan ang cryptographic configuration nito at mag-log ng mga flow nang walang sinumang humahawak sa lumang makina. Nagpapadala rin ang vendor nito ng mga pagwawasto para sa implementasyon ng tunnel, na hindi kailanman matatanggap ng host. Dalawang makina at isang deadline ay hindi dahilan upang kopyahin ang recipe na may static na lihim mula sa post sa forum.

Bigyan ang bawat gateway ng sarili nitong peer identity sa halip na i-clone ang isang client configuration sa buong fleet. Kapag pinalitan ang isang unit, bawiin ang lumang identity sa parehong sandali na inilalagay mo ang bago online, kung hindi ay maiiwan ka ng dalawang hindi kontroladong kopya na nag-aauthenticate sa parehong endpoint. Itago ang mga susi kung saan inaasahan ng management plane ng gateway ang mga ito, ituring na lihim ang backup ng configuration at suriin kung sino ang makapagpapadala ng configuration na iyon, dahil ito na ang nagpapasya kung saan makakarating ang lumang host.

Payagan ang mga serbisyo, hindi mga network

Isulat ang patakaran sa mga tuntunin ng protocol, port at direksyon sa pagitan ng dalawang attachment. Isang pinapayagang port patungo sa isang address ng aplikasyon ang karaniwang sagot, at ang administrative path sa pamamagitan ng jump host ay sumasaklaw sa iba.

Ang remote administration ng lumang host ay hindi dapat sumakay sa parehong panuntunan ng aplikasyon, at ang pagsubok sa pagtanggi ay kasinghalaga ng pagsulat ng panuntunan. Magpadala ng isang kahilingan mula sa host patungo sa destinasyon na inaasahan mong tatanggihan at kumpirmahin na ang pagtanggi ay nagmumula sa patakaran at hindi sa nawawalang ruta. I-log ang mga flow na pinapayagan mo habang bago pa ang disenyo, upang makita mo kung ano talaga ang ginagamit ng aplikasyon at hindi kung ano ang sinasabi ng dokumentasyon nito. Ang pagsasama ng dalawang subnet dahil mas maikli ang itsura ng bridged tutorial ay ang paraan kung paano tahimik na nagiging pivot ang isang lumang segment.

Huwag ilantad ang lumang listener nang direkta sa internet bilang shortcut sa paligid ng gateway. Panatilihing hiwalay ang administrative path sa application path upang ang pagkakompromiso ng isa ay hindi mag-abot ng isa pa. Ang panuntunang hindi kailanman ginagawa ay panuntunang walang sinumang nag-verify, kaya ang tinanggihang destinasyon ay bahagi ng acceptance run.

Dapat gumana ang recovery nang walang tunnel

Magpasya kung sino ang mag-aupdate at magre-recover ng gateway bago ang unang outage, at tiyaking maaabot ito ng taong iyon nang walang tunnel na tinatapos nito. Ang console access, lokal na management port o out-of-band path ay lahat itinuturing na sagot. Ang gateway na maaari lamang i-configure sa pamamagitan ng tunnel na ibinibigay nito ay bitag na matiyagang naghihintay ng masamang firmware push.

Isulat ang runbook para sa failure na talagang makakaharap mo: tunnel down, gateway patay, host disk nawala. Itago ang recovery image ng host sa ilalim ng anumang support arrangement na mayroon pa, at tandaan na ang restore ay nagbabalik din ng software state at credentials sa loob ng image na iyon. I-restore muna sa isolated segment, kumpirmahin na nagsisimula ang aplikasyon at pagkatapos lamang ikonekta muli ang anuman; kapag nagbago ang gateway, i-update ang runbook at inventory sa parehong sesyon.

Mga certificate, orasan at babala sa pag-sign

Ang pag-expire ng certificate ng installer ay hindi mismo hinuhulaan kung ano ang sasabihin ng signature check ngayon. Ang gabay ng Microsoft tungkol sa Authenticode timestamp ay nagpapaliwanag na ang timestamp ay maaaring panatilihing beripikable ang isang signature pagkatapos mag-expire ang signing certificate, at ang validation ay nakasalalay pa rin sa signature, trust chain at verifier na gumagawa ng trabaho. Dalawang makina na may magkaibang trust store ay maaaring hindi magkasundo tungkol sa parehong file. Ang expired na signer ay hindi patunay na ang binary ay malisyoso, at ang valid na signature ay hindi patunay na ang software ay pinapanatili.

Huwag ibalik ang system clock at huwag patayin ang signature check para mapatakbo ang lumang installer. Kumuha ng authorized artifact mula sa sinumang sumusuporta pa sa aplikasyon at hayaan silang sabihin kung ano ang tinatanggap ng platform. Ituring na kasaysayan, hindi installation target, ang mga post na nagsasabing isang partikular na build ang huli para sa XP, dahil ang tunay na pangangailangan ay nakasalalay sa aplikasyon; kung talagang kailangan ang preservation work, panatilihin ito sa isolated segment na malayo sa production access at idokumento kung bakit ito umiiral.