Aynı anda iki VPN? Önce uç noktanın sınırını tanımlayın

Aynı anda bağlı iki VPN istemcisi bir uç noktayı iki kaynak alanına yerleştirir ve bu, yönlendirme sorusu olmadan önce yetkilendirme sorusudur. Tünellerin şifrelenmiş olması, o dizüstü bilgisayardaki uygulamaların iki ağa da erişmesi gerekip gerekmediği ya da bir ağın eşinin diğerine bunun üzerinden erişmesi gerekip gerekmediği konusunda hiçbir şey söylemez. Aşağıdaki kontrolleri sırayla yapın ve kimsenin yanıtlayamadığı ilkinde durun. Bu yanıtlar olmadan örtüşmeyi onaylamak, kullanışlı bir düzenin sessizce köprüye dönüşme yoludur.

Gerçek işten başlayın: kişinin her ağda hangi kaynaklara ihtiyacı var ve iki ağ sahibi de tek bir cihazdan eşzamanlı erişime izin veriyor mu?

Örtüşmeye kimin izin verdiğini denetleyin

Aynı kullanıcıyı ayrı ayrı doğrulayan iki ağın yine de ayrı sahipleri vardır ve bu sahiplerin başka yerde de bağlı cihazlar hakkında uyumsuz varsayımları olabilir. Herhangi bir şey tasarlamadan önce ikisine de sorun. Yalıtılmış dizüstü bilgisayarlar için yazılmış uzaktan erişim ilkesinin, aynı anda bir iş ortağı ağının içinde bulunan bir makine için çoğu zaman hiçbir yanıtı yoktur.

Yanıtı yazılı olarak alın ve değişiklik kaydıyla birlikte saklayın. Bir taraf hayır derse bu listenin geri kalanı akademiktir ve kendinize bir tasarım incelemesi tasarruf etmiş olursunuz.

İki arayüzü yönlendirici olarak ele almayın

İki etkin arayüz cihazı otomatik olarak yönlendirici ya da Ethernet köprüsü yapmaz. Herhangi bir şeyi geçiş yolu olarak tanımlamadan önce desteklenen yönlendirme, köprüleme, NAT ve vekil sunucu yapılandırmasını denetleyin ve cihazın zaten sahip olduğu ilgisiz yetkili yönlendirme görevlerini koruyun. Yerel bir konteyner ağı ya da sanallaştırma ana makinesi çalıştıran dizüstü bilgisayar burada tarafsız bir gözlemci değildir.

Gereksinim gerçekten A'dan B'ye geçişse, bunun yeri sahibi, denetlenebilir kural kümesi ve değişiklik süreci olan bir ağ cihazıdır. Bunu bir iş istasyonu üzerinden kazara yapmak, bu denetimin önlemek için var olduğu sonuçtur.

Uç noktayı bir erişim noktası olarak da ele alın

Cihaz yalnızca iki ağın istemcisi değildir; hizmet sunan bir ana makinedir. O makinedeki izinli bir hizmet, ana makinenin güvenlik duvarına ve istemci ilkesine göre bir VPN eşinden erişilebilir olabilir, bu yüzden dizüstü bilgisayardaki açık yönetim bağlantı noktası artık uzak ağın saldırı yüzeyinin parçasıdır. Rotaları tartışmadan önce neyin dinlediğini listeleyin, çünkü bağlanmış tek bir hata ayıklama bağlantı noktası herhangi bir tünel ilkesinden daha ağırdır. Ana makine hizmetlerini amaçlanan kaynakları ve amaçlarıyla sınırlı tutun.

Her uzak ağı, trafik şifrelenmiş geldi diye geniş güven vermek yerine açık izinleri olan bir kaynak alanı olarak ele alın. NIST'in sıfır güven mimarisi kaynak yetkilendirmesini ağ konumuna duyulan örtük güvenden ayırır ve iki tünelli bir dizüstü bilgisayarın bulanıklaştırdığı tam olarak bu ayrımdır.

Burada bulunmuşken bir soru daha sorun: yerel bir hizmet ya da yetkili bir uygulama ele geçirilirse, o dayanaktan hangi kaynaklar ve kimlik bilgileri erişilebilir hale gelir? Yanıtı yazın, çünkü tüm tasarımın gerçek risk bildirimi budur.

Tehdit modeline uyan çalışma sınırını seçin

Uygulama bazlı yönlendirme programları amaçlanan tünellere atayabilir ve ayrı çalışma profilleri, kullanıcılar ya da desteklenen sanal çalışma alanları platforma bağlı olarak kimlik ve veri sınırları ekleyebilir. Sınırı gösteriye değil tehdit modeline uyarlayın: kimlik ayrımı olmayan yönlendirme ayrımı yine de tek bir tarayıcı profilinin iki oturumu tutmasına yol açar.

Ağ ad alanı yönlendirmeyi ve ağ durumunu yalıtır; her dosya sistemi yolunu, panoyu ya da kimlik bilgisi aracısını yalıtmaz. Sanal makine ya da yönetilen profil de bilinçli bir paylaşım ve ana makine yönetimi ilkesine ihtiyaç duyar. Hangi klasörlerin, kimlik doğrulama yardımcılarının ve kopyala-yapıştır yollarının kullanılabilir kaldığını kaydedin, çünkü iki alan arasında veriyi gerçekte taşıyan kanallar bunlardır.

Sıralı iş için bilinçli geçiş genellikle eşzamanlı erişimi sürdürmekten daha basittir. Bağımlı işlemi bitirin ve ardından arka plan araçlarını belirsiz bir bağlama bağlı bırakmak yerine sonraki çalışma alanının kimliğini ve rotasını doğrulayın.

Onayı bir görev olarak yazın, slogan olarak değil

Bir onay kaydı görev gibi okunmalıdır: destek çalışma alanı A Ağı'nın hizmet konsoluna ve B Ağı'nın bilet portalına erişebilir; A'dan B'ye yetkili yönlendirme, paylaşılan kimlik bilgisi aracısı ve otomatik dosya eşitleme olmadan. O cümledeki her madde yapılandırıp test edebileceğiniz bir şeye karşılık gelir.

Ardından yalnızca olumlu değil, olumsuz durumları da doğrulayın. Sınırın dışında olması gereken bir kaynağa erişmeyi deneyin, ana makine hizmetinin diğer taraftan yanıt vermediğini doğrulayın ve kimlik bilgisi yardımcısının sessizce iki alana da hizmet vermediğini denetleyin.

Kaydı yalnızca bilette değil cihazla birlikte saklayın, böylece bu düzeni devralan sonraki kişi hangi sınırın bilinçli olduğunu bilsin. İki tünelli ve yazılı sınırı olmayan bir dizüstü bilgisayar hatalı yapılandırmadan ayırt edilemez.