VPN ağ geçidini Windows XP'nin yanına koyun, içine değil

Binanın bir yerinde, kimsenin değiştiremeyeceği bir uygulamayı hiçbir şeye bağlanmaması gereken bir işletim sistemi üzerinde çalıştıran bir makine var. O ana bilgisayarın ağ bağdaştırıcısından dışarı yürümek, tünelin nereye ait olduğunu görmenin en hızlı yoludur. Çoğu tasarımda tünel ana bilgisayara hiç ait değildir. Onu bir adım öteye, bakımlı bir ağ geçidine taşıyın; eski sorun başladığı uygulamaya kadar küçülür.

VPN istemcisinden değil, ana bilgisayarın bağdaştırıcısından başlayın

Bağdaştırıcı özelliklerini açın ve ana bilgisayara küçük, ayrılmış bir segmentte sabit adres verin; ağ geçidi onun varsayılan yolu olsun. Böylece ana bilgisayarın tünel istemcisine, tünel kimlik bilgilerine veya daha geniş kurumsal ağa uzanan yönlendirme tablosu girdilerine ihtiyacı kalmaz. Uygulama tek bir uzak alt ağa ihtiyaç duyuyorsa yalnızca o tek yolu ekleyin.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Bu komut tek bir hedefi ağ geçidine sabitler ve geri kalan her şeyi yolsuz bırakır; istediğiniz biçim budur. Çıkış koduna güvenmek yerine sonucu route print ile doğrulayın. Ardından uygulamanın hâlâ sunucu adını çözümleyip çözümlemediğini kontrol edin, çünkü bozuk çözümleyicili eski bir ana bilgisayar tam olarak ağ arızası gibi görünür ve çözümleyiciyi onarmak beş dakikalık bir iştir, yanlış bir ağ değişikliğinden sonra uygulamayı yeniden inşa etmek ise değildir. Ana bilgisayarın ulaşamadığı her hedef, eski bir ağ yığınının saldırmaya ikna edilebileceği bir şeyin eksilmesidir.

Tüneli güncelleyebildiğiniz donanıma koyun

Ağ geçidi iki arayüz ister: biri ana bilgisayar segmentine, biri uygulamanın yaşadığı yere; tünel ikincisinde sonlanır. Bu cihaz yazılım güncellemeleri alabilir, kriptografik yapılandırmasını değiştirebilir ve akışları günlükleyebilir; kimse eski makineye dokunmaz. Üreticisi tünel uygulaması için düzeltmeler de gönderir; ana bilgisayar bunları asla alamaz. İki makine ve bir son tarih, bir forum gönderisinden statik sır tarifi kopyalamak için gerekçe değildir.

Tek bir istemci yapılandırmasını filoya klonlamak yerine her ağ geçidine kendi eş kimliğini verin. Bir birim değiştirildiğinde, yenisini devreye aldığınız anda eski kimliği iptal edin; yoksa aynı uç noktaya kimlik doğrulayan iki denetimsiz kopya kalır. Anahtarları ağ geçidinin yönetim düzleminin beklediği yerde saklayın, yapılandırma yedeğini sır olarak görün ve bu yapılandırmayı kimin gönderebileceğini gözden geçirin; çünkü artık eski ana bilgisayarın nereye ulaşabileceğini bu belirliyor.

Ağlara değil, hizmetlere izin verin

İlkeyi iki bağlantı arasında protokol, port ve yön açısından yazın. Tek bir uygulama adresine tek bir izinli port olağan yanıttır; atlama ana bilgisayarı üzerinden bir yönetim yolu geri kalanı kapsar.

Eski ana bilgisayarın uzaktan yönetimi uygulamayla aynı kurala binmemelidir ve reddi test etmek kuralı yazmak kadar önemlidir. Ana bilgisayardan reddedilmesini beklediğiniz bir hedefe tek bir istek gönderin ve reddin eksik bir yoldan değil ilkeden geldiğini doğrulayın. Tasarım yeniyken izin verdiğiniz akışları günlükleyin; böylece uygulamanın belgelerinin iddia ettiğini değil gerçekte ne kullandığını görürsünüz. Köprülü bir eğitim daha kısa göründüğü için iki alt ağı birleştirmek, eski bir segmentin sessizce sıçrama tahtasına dönüşme yoludur.

Eski dinleyiciyi ağ geçidinin etrafından bir kısayol olarak doğrudan internete maruz bırakmayın. Yönetim yolunu uygulama yolundan ayrı tutun; birinin ihlali diğerini teslim etmesin. Hiç uygulanmayan bir kural, kimsenin doğrulamadığı bir kuraldır; bu yüzden reddedilen hedef kabul çalışmasına aittir.

Kurtarma tünelsiz çalışmalı

İlk kesintiden önce ağ geçidini kimin güncelleyip kurtaracağına karar verin ve o kişinin, ağ geçidinin sonlandırdığı tünel olmadan ona ulaşabildiğinden emin olun. Konsol erişimi, yerel yönetim portu veya bant dışı bir yol yanıt sayılır. Yalnızca kendi sağladığı tünel üzerinden yapılandırılabilen bir ağ geçidi, kötü bir yazılım gönderimini sabırla bekleyen bir tuzaktır.

Gerçekten karşılaşacağınız arıza için runbook yazın: tünel aşağı, ağ geçidi ölü, ana bilgisayar diski yok. Ana bilgisayarın kurtarma imajını hâlâ geçerli olan herhangi bir destek düzenlemesi altında tutun ve geri yüklemenin o imajdaki yazılım durumunu ve kimlik bilgilerini de geri getirdiğini unutmayın. Önce yalıtılmış segmente geri yükleyin, uygulamanın başladığını doğrulayın ve ancak ondan sonra bir şeyi yeniden bağlayın; ağ geçidi değiştiğinde runbook'u ve envanteri aynı oturumda güncelleyin.

Sertifikalar, saatler ve imza uyarıları

Bir yükleyicinin sertifikasının süresinin dolması, imza denetiminin bugün ne söyleyeceğini kendi başına öngörmez. Microsoft'un Authenticode zaman damgaları konusundaki rehberi, bir zaman damgasının imzalama sertifikası sona erdikten sonra da imzayı doğrulanabilir tutabileceğini ve doğrulamanın hâlâ imzaya, güven zincirine ve işi yapan doğrulayıcıya bağlı olduğunu açıklar. Bu nedenle farklı güven depolarına sahip iki makine aynı dosya hakkında anlaşamayabilir. Süresi dolmuş bir imzalayan, ikili dosyanın kötü amaçlı olduğunun kanıtı değildir; geçerli bir imza da yazılımın bakımda olduğunun kanıtı değildir.

Eski bir yükleyicinin çalışması için sistem saatini geri almayın veya imza denetimlerini kapatmayın. Uygulamayı hâlâ destekleyen kimseden yetkili bir artefakt edinin ve platformun neyi kabul ettiğini onlar söylesin. Belirli bir derlemenin XP için son olduğunu iddia eden gönderileri kurulum hedefi değil tarih olarak ele alın; gerçek gereksinim uygulamaya bağlıdır; koruma çalışması gerçekten gerekiyorsa üretim erişiminden uzak yalıtılmış bir segmentte tutun ve neden var olduğunu belgeleyin.