Bir vaqtda ikkita VPN? Avval oxirgi nuqta chegarasini belgilang

Bir vaqtda ulangan ikkita VPN klienti bitta oxirgi nuqtani ikkita resurs domeniga joylashtiradi, va bu marshrutlash savolidan oldin ruxsat savolidir. Tunellarning shifrlanganligi o‘sha noutbukdagi ilovalar ikkala tarmoqqa yetib borishi kerakmi yoki bir tarmoqning hamkori u orqali ikkinchisiga yetib borishi kerakmi degan savolga hech narsa demaydi. Quyidagi tekshiruvlarni tartib bilan bajaring va hech kim javob bera olmaydigan birinchisida to‘xtang. O‘sha javoblarsiz qatlamlanishni tasdiqlash qulay tartibning jimgina ko‘prikka aylanish yo‘lidir.

Haqiqiy ishdan boshlang: har bir tarmoqda odamga qanday resurslar kerak va ikkala tarmoq egasi bitta qurilmadan bir vaqtda kirishga ruxsat beradimi?

Qatlamlanishga kim ruxsat berishini tekshiring

Bir xil foydalanuvchini alohida tasdiqlaydigan ikkita tarmoqning ham egalari alohida, va bu egalarda boshqa joyda ham ulangan qurilmalar haqida mos kelmaydigan taxminlar bo‘lishi mumkin. Biror narsani loyihalashdan oldin ikkalasidan ham so‘rang. Izolyatsiya qilingan noutbuklar uchun yozilgan masofaviy kirish siyosatida bir vaqtda hamkor tarmog‘i ichida bo‘lgan mashina uchun ko‘pincha umuman javob yo‘q.

Javobni yozma shaklda oling va o‘zgarish yozuvi bilan birga saqlang. Agar bir tomon yo‘q desa, bu ro‘yxatning qolgan qismi nazariy bo‘lib qoladi va siz o‘zingizni loyiha ko‘rib chiqishidan xalos qildingiz.

Ikkita interfeysni marshrutizator deb hisoblamang

Ikkita faol interfeys qurilmani avtomatik ravishda marshrutizator yoki Ethernet ko‘prigi qilmaydi. Biror narsani tranzit yo‘li deb atashdan oldin qo‘llab-quvvatlanadigan yo‘naltirish, ko‘prik, NAT va proksi konfiguratsiyasini tekshiring va qurilmada allaqachon mavjud bo‘lgan har qanday aloqasiz ruxsat etilgan marshrutlash vazifalarini saqlab qoling. Mahalliy konteyner tarmog‘i yoki virtualizatsiya xostini ishga tushirgan noutbuk bu yerda betaraf kuzatuvchi emas.

Agar talab haqiqatan A dan B gacha tranzit bo‘lsa, uning o‘rni egasi, tekshiriladigan qoidalar to‘plami va o‘zgarish jarayoni bo‘lgan tarmoq qurilmasidir. Uni ish stansiyasi orqali tasodifan amalga oshirish bu tekshiruv oldini olish uchun mavjud bo‘lgan natijadir.

Oxirgi nuqtaga kirish nuqtasi sifatida ham qarang

Qurilma ikkala tarmoqning faqat klienti emas; u xizmatlar taklif qiladigan xostdir. O‘sha mashinadagi ruxsat etilgan xizmat xostning tarmoq devori va klient siyosatiga ko‘ra VPN hamkoridan yetib borish mumkin bo‘lishi mumkin, shuning uchun noutbukdagi ochiq boshqaruv porti endi masofaviy tarmoqning hujum yuzasining bir qismidir. Marshrutlar haqida bahslashishdan oldin nima tinglayotganini sanab chiqing, chunki bitta bog‘langan tuzatish porti har qanday tunnel siyosatidan og‘irroq. Xost xizmatlarini ularning mo‘ljallangan manbalari va maqsadlari bilan cheklang.

Har bir masofaviy tarmoqni trafik shifrlangan holda kelgani uchun keng ishonch berish o‘rniga aniq ruxsatlarga ega resurs domeni deb hisoblang. NIST ning nol ishonch arxitekturasi resurs ruxsatini tarmoq joylashuviga bo‘lgan yashirin ishonchdan ajratadi, va ikkita tunnelli noutbuk aynan shu farqni xiralashtiradi.

Shu yerda bo‘lganingizda yana bir savol bering: agar mahalliy xizmat yoki ruxsat etilgan ilova buzilsa, o‘sha tayanchdan qanday resurslar va hisob ma’lumotlari yetib borish mumkin bo‘ladi? Javobni yozib qo‘ying, chunki bu butun loyiha uchun haqiqiy xavf bayonidir.

Tahdid modeliga mos ish chegarasini tanlang

Ilova bo‘yicha marshrutlash dasturlarni mo‘ljallangan tunellarga tayinlashi mumkin, alohida ish profillari, foydalanuvchilar yoki qo‘llab-quvvatlanadigan virtual ish maydonlari esa platformaga qarab identifikatsiya va ma’lumot chegaralarini qo‘shishi mumkin. Chegarani demo bilan emas, tahdid modeli bilan moslashtiring: identifikatsiya bo‘linmasiz marshrutlash bo‘linishi hali ham bitta brauzer profilini ikkala seans bilan qoldiradi.

Tarmoq nom fazosi marshrutlash va tarmoq holatini izolyatsiya qiladi; u fayl tizimining har bir yo‘lini, almashish buferini yoki hisob ma’lumotlari agentini izolyatsiya qilmaydi. Virtual mashina yoki boshqariladigan profil ham ataylab tuzilgan bo‘lishish va xost boshqaruvi siyosatini talab qiladi. Qaysi jildlar, autentifikatsiya yordamchilari va nusxa ko‘chirish hamda joylashtirish yo‘llari ochiq qolishini yozib qo‘ying, chunki ikki domen o‘rtasida ma’lumotni aslida shu kanallar tashiydi.

Ketma-ket ish uchun ataylab almashtirish bir vaqtda kirishni saqlab turishdan odatda soddaroq. Bog‘liq amalni tugating va keyin noaniq kontekstga fon vositalarini bog‘lab qo‘yish o‘rniga keyingi ish maydonining identifikatsiyasi va marshrutini tekshiring.

Tasdiqni shior emas, vazifa sifatida yozing

Tasdiq yozuvi vazifadek o‘qilishi kerak: qo‘llab-quvvatlash ish maydoni A tarmog‘ining xizmat konsoli va B tarmog‘ining chipta portaliga yetib borishi mumkin, A dan B ga ruxsat etilgan yo‘naltirishsiz, umumiy hisob ma’lumotlari agentisiz va avtomatik fayl sinxronizatsiyasisiz. O‘sha jumladagi har bir band siz sozlashingiz va sinab ko‘rishingiz mumkin bo‘lgan narsaga to‘g‘ri keladi.

Keyin faqat ijobiy emas, salbiy holatlarni ham tekshiring. Chegaradan tashqarida bo‘lishi kerak bo‘lgan resursga yetib borishga urinib ko‘ring, xost xizmati boshqa tomondan javob bermayotganini tasdiqlang va hisob ma’lumotlari yordamchisi ikkala domenga jimgina xizmat qilmayotganini tekshiring.

Yozuvni faqat chiptada emas, qurilma bilan birga saqlang, shunda bu tartibni meros oladigan keyingi odam qaysi chegara ataylab qo‘yilganini biladi. Ikkita tunnelli va yozma chegarasi bo‘lmagan noutbukni noto‘g‘ri konfiguratsiyadan ajratib bo‘lmaydi.