Два VPN одночасно? Спершу визначте межу кінцевої точки

Два одночасно підключені клієнти VPN розміщують одну кінцеву точку в двох доменах ресурсів, і це питання авторизації раніше, ніж питання маршрутизації. Шифрування тунелів нічого не каже про те, чи мають застосунки на цьому ноутбуці досягати обох мереж і чи має вузол однієї мережі досягати іншої через нього. Пройдіть перевірки нижче по порядку й зупиніться на першій, на яку ніхто не може відповісти. Затвердити перекриття без цих відповідей — це шлях, яким зручна схема тихо стає мостом.

Почніть із реальної роботи: які ресурси в кожній мережі потрібні людині й чи дозволяють обидва власники мереж одночасний доступ з одного пристрою?

Перевірте, хто дозволяє перекриття

Дві мережі, кожна з яких автентифікує того самого користувача, усе одно мають окремих власників, і ці власники можуть мати несумісні припущення про пристрої, підключені також в іншому місці. Запитайте обох, перш ніж щось проєктувати. Політика віддаленого доступу, написана для ізольованих ноутбуків, часто взагалі не має відповіді для машини, яка одночасно перебуває всередині мережі партнера.

Отримайте відповідь письмово й зберігайте її разом із записом про зміну. Якщо одна сторона каже ні, решта цього списку академічна, і ви зекономили собі перегляд проєкту.

Не ставтеся до двох інтерфейсів як до маршрутизатора

Два активні інтерфейси не роблять пристрій автоматично маршрутизатором чи мостом Ethernet. Перевірте підтримувану конфігурацію пересилання, мосту, NAT і проксі, перш ніж називати щось транзитним шляхом, і збережіть будь-які не пов'язані авторизовані обов'язки маршрутизації, які пристрій уже має. Ноутбук, на якому працює локальна мережа контейнерів або хост віртуалізації, тут не є нейтральним спостерігачем.

Якщо вимога справді полягає в транзиті з A до B, її місце — на мережевому пристрої з власником, перевірюваним набором правил і процесом змін. Зробити це випадково через робочу станцію — саме той результат, для запобігання якому існує ця перевірка.

Ставтеся до кінцевої точки і як до точки доступу

Пристрій — не лише клієнт обох мереж; це хост, який надає служби. Дозволена служба на цій машині може бути доступною з боку вузла VPN відповідно до брандмауера хоста й політики клієнта, тож відкритий порт керування на ноутбуці тепер частина поверхні атаки віддаленої мережі. Перелічіть, що слухає, перш ніж сперечатися про маршрути, бо один прив'язаний порт налагодження важить більше за будь-яку політику тунелю. Обмежте служби хоста їхніми передбаченими джерелами й цілями.

Ставтеся до кожної віддаленої мережі як до домену ресурсів із явними дозволами, замість давати широку довіру через те, що трафік прийшов зашифрованим. Архітектура нульової довіри NIST відокремлює авторизацію ресурсів від неявної довіри до мережевого розташування, і саме цю різницю ноутбук із двома тунелями розмиває.

Поставте ще одне питання, поки ви тут: якщо локальну службу або авторизований застосунок буде скомпрометовано, які ресурси й облікові дані стануть доступними з цієї точки опори? Запишіть відповідь, бо це справжня заява про ризик для всього проєкту.

Виберіть робочу межу, що відповідає моделі загроз

Маршрутизація за застосунками може призначати програми потрібним тунелям, а окремі робочі профілі, користувачі чи підтримувані віртуальні робочі простори можуть додавати межі ідентичності й даних залежно від платформи. Узгодьте межу з моделлю загроз, а не з демонстрацією: поділ маршрутизації без поділу ідентичності все одно залишає один профіль браузера з обома сесіями.

Мережевий простір імен ізолює маршрутизацію й стан мережі; він не ізолює кожен шлях файлової системи, буфер обміну чи агент облікових даних. Віртуальна машина або керований профіль також потребують продуманої політики спільного використання й адміністрування хоста. Запишіть, які теки, помічники автентифікації та шляхи копіювання й вставлення залишаються доступними, бо саме ці канали насправді переносять дані між двома доменами.

Для послідовної роботи навмисне перемикання зазвичай простіше, ніж підтримувати одночасний доступ. Завершіть залежну операцію, а потім перевірте ідентичність і маршрут наступного робочого простору, замість залишати фонові інструменти прив'язаними до неоднозначного контексту.

Запишіть затвердження як завдання, а не як гасло

Запис затвердження має читатися як завдання: робочий простір підтримки може звертатися до консолі служб мережі A і порталу заявок мережі B, без дозволеного пересилання з A до B, без спільного агента облікових даних і без автоматичної синхронізації файлів. Кожна частина цього речення відповідає чомусь, що можна налаштувати й перевірити.

Потім перевірте негативні випадки, а не лише позитивні. Спробуйте досягти ресурсу, який має бути поза межею, переконайтеся, що служба хоста не відповідає з іншого боку, і перевірте, що помічник облікових даних мовчки не обслуговує обидва домени.

Зберігайте запис разом із пристроєм, а не лише в заявці, щоб наступна людина, яка успадкує схему, знала, яка межа була навмисною. Ноутбук із двома тунелями й без записаної межі не відрізнити від помилкової конфігурації.