VPN darvozasini Windows XP yoniga qo‘ying, ichiga emas

Binoning bir joyida hech kim almashtira olmaydigan ilovani hech narsaga ulanmasligi kerak bo‘lgan operatsion tizimda ishga tushiruvchi mashina bor. O‘sha xostning tarmoq adapteridan tashqariga chiqish tunnel qayerda bo‘lishi kerakligini ko‘rishning eng tez yo‘li. Ko‘pchilik loyihalarda u xostga umuman tegishli emas. Uni bir qadam nariga, xizmat ko‘rsatiladigan darvozaga ko‘chiring, eski muammo o‘zi boshlangan ilovaga qadar kichrayadi.

VPN mijozi emas, xost adapteridan boshlang

Adapter xususiyatlarini oching va xostga kichik ajratilgan segmentda doimiy manzil bering, darvoza uning standart marshruti bo‘lsin. Shunda xostga tunnel mijozi, tunnel hisob ma’lumotlari yoki kengroq korporativ tarmoqqa boradigan marshrut jadvali yozuvlari kerak emas. Agar ilovaga bitta uzoq subnet kerak bo‘lsa, aynan o‘sha bitta marshrutni qo‘shing.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Bu buyruq bitta manzilni darvozaga qadab qo‘yadi va qolgan hammasini marshrutsiz qoldiradi, va bu siz xohlagan shakl. Chiqish kodiga ishonish o‘rniga natijani route print bilan tasdiqlang. Keyin ilova hali ham server nomini hal qilishini tekshiring, chunki buzilgan hal qilgichli eski xost xuddi tarmoq nosozligidek ko‘rinadi, hal qilgichni tuzatish besh daqiqalik ish, noto‘g‘ri tarmoq o‘zgarishidan keyin ilovani qayta qurish esa unday emas. Xost yeta olmaydigan har bir manzil eski tarmoq stekini hujumga undash mumkin bo‘lgan bitta narsa kamroq.

Tunnelni yangilay oladigan apparatga qo‘ying

Darvoza ikkita interfeys istaydi: biri xost segmentiga, ikkinchisi ilova yashaydigan joyga, tunnel ikkinchisida tugaydi. Bu qurilma proshivka yangilanishlarini oladi, kriptografik konfiguratsiyasini almashtiradi va oqimlarni jurnalga yozadi, hech kim eski mashinaga tegmaydi. Uning yetkazib beruvchisi tunnel amalga oshirilishi uchun tuzatishlar ham yuboradi, ularni xost hech qachon olmaydi. Ikki mashina va bir muddat forum postidan statik sirli retseptni ko‘chirish uchun sabab emas.

Bitta mijoz konfiguratsiyasini butun flotga klonlash o‘rniga har bir darvozaga o‘z peer identifikatorini bering. Birlik almashtirilganda, yangisini onlayn qilayotgan shu paytda eski identifikatorni bekor qiling, aks holda bir xil oxirgi nuqtada autentifikatsiyadan o‘tadigan ikkita nazoratsiz nusxa qoladi. Kalitlarni darvozaning boshqaruv tekisligi kutadigan joyda saqlang, konfiguratsiya zaxirasiga sir sifatida qarang va bu konfiguratsiyani kim yuborishi mumkinligini ko‘rib chiqing, chunki endi u eski xost qayerga yeta olishini hal qiladi.

Tarmoqlarga emas, xizmatlarga ruxsat bering

Siyosatni ikki ulanish o‘rtasida protokol, port va yo‘nalish bo‘yicha yozing. Bitta ilova manziliga bitta ruxsat etilgan port odatiy javob, sakrash xosti orqali ma’muriy yo‘l qolganini qoplaydi.

Eski xostni masofadan boshqarish ilova bilan bir xil qoidada yurmasligi kerak, va rad etishni sinash qoidani yozish kabi muhim. Xostdan rad etilishi kutilayotgan manzilga bitta so‘rov yuboring va rad etish yo‘q marshrutdan emas, siyosatdan kelishini tasdiqlang. Dizayn yangi bo‘lganda ruxsat bergan oqimlarni jurnalga yozing, shunda ilova hujjatlarida aytilganini emas, aslida nima ishlatishini ko‘rasiz. Ko‘prikli qo‘llanma qisqaroq ko‘ringani uchun ikkita subnetni birlashtirish eski segmentning jimgina sakrash taxtasiga aylanish yo‘li.

Eski tinglovchini darvoza atrofidagi qisqa yo‘l sifatida to‘g‘ridan-to‘g‘ri internetga chiqarmang. Ma’muriy yo‘lni ilova yo‘lidan alohida tuting, birining buzilishi ikkinchisini topshirmasin. Hech qachon qo‘llanmaydigan qoida hech kim tekshirmagan qoida, shuning uchun rad etilgan manzil qabul sinoviga kiradi.

Tiklash tunnelsiz ishlashi kerak

Birinchi uzilishdan oldin darvozani kim yangilashi va tiklashini hal qiling va o‘sha odam darvoza tugatadigan tunnelsiz unga yeta olishiga ishonch hosil qiling. Konsol ruxsati, mahalliy boshqaruv porti yoki tashqi yo‘l — barchasi javob hisoblanadi. Faqat o‘zi taqdim etadigan tunnel orqali sozlanadigan darvoza yomon proshivka yuborilishini sabr bilan kutadigan tuzoq.

Haqiqatan uchraydigan nosozlik uchun qo‘llanma yozing: tunnel pastda, darvoza o‘lik, xost diski yo‘q. Xostning tiklash tasvirini u uchun hali mavjud bo‘lgan har qanday qo‘llab-quvvatlash kelishuvi ostida saqlang va tiklash o‘sha tasvir ichidagi dasturiy holat va hisob ma’lumotlarini ham qaytarishini unuting. Avval izolyatsiya qilingan segmentga tiklang, ilova ishga tushishini tasdiqlang va shundan keyingina biror narsani qayta ulang; darvoza o‘zgarsa, o‘sha majlisda qo‘llanma va inventarni yangilang.

Sertifikatlar, soatlar va imzo ogohlantirishlari

O‘rnatuvchining sertifikati muddati tugashi bugun imzo tekshiruvi nima deyishini o‘z-o‘zidan bashorat qilmaydi. Microsoftning Authenticode vaqt belgilari bo‘yicha qo‘llanmasi vaqt belgisi imzo sertifikati muddati tugagandan keyin ham imzoni tekshiriladigan holda saqlashi mumkinligini va tekshirish hali ham imzo, ishonch zanjiri va ishni bajaruvchi tekshiruvchiga bog‘liqligini tushuntiradi. Shuning uchun turli ishonch omborlariga ega ikki mashina bir xil fayl haqida kelisha olmasligi mumkin. Muddati o‘tgan imzolovchi binar fayl zararli ekaniga dalil emas, haqiqiy imzo esa dasturiy ta’minotga xizmat ko‘rsatilayotganiga dalil emas.

Eski o‘rnatuvchini ishga tushirish uchun tizim soatini orqaga qaytarmang yoki imzo tekshiruvlarini o‘chirmang. Ilovani hali qo‘llab-quvvatlaydigan kimsadan ruxsat etilgan artefakt oling va platforma nima qabul qilishini ular aytsin. Muayyan build XP uchun oxirgisi bo‘lgan deb da’vo qiluvchi postlarga o‘rnatish maqsadi emas, tarix sifatida qarang, chunki haqiqiy talab ilovaga bog‘liq; agar saqlash ishi haqiqatan zarur bo‘lsa, uni ishlab chiqarish ruxsatidan uzoq izolyatsiya qilingan segmentda saqlang va nima uchun mavjudligini hujjatlashtiring.