Hai VPN cùng lúc? Trước hết hãy xác định ranh giới điểm cuối

Hai ứng dụng khách VPN được kết nối cùng lúc đặt một điểm cuối vào hai miền tài nguyên, và đây là câu hỏi về ủy quyền trước khi là câu hỏi về định tuyến. Việc các đường hầm được mã hóa không nói lên điều gì về việc các ứng dụng trên máy tính xách tay đó có nên truy cập được cả hai mạng hay không, hay việc một điểm ngang hàng của mạng này có nên truy cập được mạng kia thông qua nó hay không. Hãy thực hiện các kiểm tra dưới đây theo thứ tự và dừng ở kiểm tra đầu tiên mà không ai có thể trả lời. Phê duyệt sự chồng lấn mà không có những câu trả lời đó chính là cách một thỏa thuận tiện lợi lặng lẽ trở thành một cây cầu.

Hãy bắt đầu từ công việc thực tế: người đó cần những tài nguyên nào trong mỗi mạng, và cả hai chủ sở hữu mạng có cho phép truy cập đồng thời từ một thiết bị không?

Kiểm tra ai cho phép sự chồng lấn

Hai mạng mà mỗi mạng xác thực cùng một người dùng vẫn có những chủ sở hữu riêng, và những chủ sở hữu đó có thể có những giả định không tương thích về các thiết bị cũng được kết nối ở nơi khác. Hãy hỏi cả hai trước khi thiết kế bất cứ điều gì. Một chính sách truy cập từ xa được viết cho máy tính xách tay biệt lập thường không có câu trả lời nào cho một cỗ máy đồng thời nằm bên trong mạng của đối tác.

Hãy lấy câu trả lời bằng văn bản và lưu nó cùng hồ sơ thay đổi. Nếu một bên nói không, phần còn lại của danh sách này chỉ là lý thuyết, và bạn đã tự tiết kiệm cho mình một buổi rà soát thiết kế.

Đừng coi hai giao diện là một bộ định tuyến

Hai giao diện đang hoạt động không tự động biến thiết bị thành bộ định tuyến hay cầu nối Ethernet. Hãy kiểm tra cấu hình chuyển tiếp, cầu nối, NAT và proxy được hỗ trợ trước khi mô tả bất cứ điều gì là đường truyền, và giữ nguyên mọi nhiệm vụ định tuyến được ủy quyền không liên quan mà thiết bị đã có. Một máy tính xách tay chạy mạng container cục bộ hoặc máy chủ ảo hóa không phải là người quan sát trung lập ở đây.

Nếu yêu cầu thực sự là truyền từ A đến B, điều đó thuộc về một thiết bị mạng có chủ sở hữu, bộ quy tắc có thể kiểm toán và quy trình thay đổi. Vô tình làm điều đó qua một máy trạm chính là kết quả mà kiểm tra này tồn tại để ngăn chặn.

Coi điểm cuối cũng là điểm truy cập

Thiết bị không chỉ là ứng dụng khách của cả hai mạng; nó là một máy chủ cung cấp dịch vụ. Một dịch vụ được phép trên cỗ máy đó có thể truy cập được từ một điểm ngang hàng VPN theo tường lửa của máy chủ và chính sách của ứng dụng khách, nên một cổng quản trị đang mở trên máy tính xách tay giờ là một phần bề mặt tấn công của mạng từ xa. Hãy liệt kê những gì đang lắng nghe trước khi tranh luận về các tuyến, vì một cổng gỡ lỗi bị ràng buộc nặng hơn bất kỳ chính sách đường hầm nào. Hãy giới hạn dịch vụ của máy chủ trong nguồn và mục đích dự kiến của chúng.

Hãy coi mỗi mạng từ xa là một miền tài nguyên với các quyền rõ ràng thay vì trao niềm tin rộng rãi vì lưu lượng đến đã được mã hóa. Kiến trúc không tin cậy của NIST tách việc ủy quyền tài nguyên khỏi niềm tin ngầm vào vị trí mạng, và đó chính xác là sự phân biệt mà một máy tính xách tay có hai đường hầm làm mờ đi.

Hãy hỏi thêm một câu khi còn ở đây: nếu một dịch vụ cục bộ hoặc một ứng dụng được ủy quyền bị xâm phạm, những tài nguyên và thông tin xác thực nào sẽ trở nên truy cập được từ bàn đạp đó? Hãy viết câu trả lời ra, vì đó là tuyên bố rủi ro thực sự cho toàn bộ thiết kế.

Hãy chọn ranh giới công việc phù hợp với mô hình mối đe dọa

Định tuyến theo ứng dụng có thể gán các chương trình cho những đường hầm dự kiến, và các hồ sơ công việc, người dùng hoặc không gian làm việc ảo được hỗ trợ riêng có thể thêm ranh giới danh tính và dữ liệu tùy theo nền tảng. Hãy khớp ranh giới với mô hình mối đe dọa chứ không phải với bản trình diễn: tách định tuyến mà không tách danh tính vẫn để một hồ sơ trình duyệt giữ cả hai phiên.

Không gian tên mạng cô lập định tuyến và trạng thái mạng; nó không cô lập mọi đường dẫn hệ thống tệp, bảng tạm hay tác nhân thông tin xác thực. Một máy ảo hoặc một hồ sơ được quản lý cũng cần một chính sách chia sẻ và quản trị máy chủ có chủ đích. Hãy ghi lại những thư mục, trình trợ giúp xác thực và đường dẫn sao chép dán nào vẫn còn khả dụng, vì đó là những kênh thực sự mang dữ liệu giữa hai miền.

Đối với công việc tuần tự, chuyển đổi có chủ đích thường đơn giản hơn duy trì truy cập đồng thời. Hãy hoàn tất thao tác phụ thuộc và sau đó xác minh danh tính và tuyến của không gian làm việc tiếp theo thay vì để các công cụ nền gắn với một ngữ cảnh mơ hồ.

Viết phê duyệt như một nhiệm vụ, không phải một khẩu hiệu

Một hồ sơ phê duyệt nên được đọc như một nhiệm vụ: không gian làm việc hỗ trợ có thể truy cập bảng điều khiển dịch vụ của Mạng A và cổng thông tin phiếu hỗ trợ của Mạng B, không có chuyển tiếp được ủy quyền từ A sang B, không có tác nhân thông tin xác thực dùng chung và không có đồng bộ hóa tệp tự động. Mỗi mệnh đề trong câu đó tương ứng với một điều bạn có thể cấu hình và kiểm thử.

Sau đó hãy xác minh các trường hợp phủ định, không chỉ các trường hợp khẳng định. Hãy thử truy cập một tài nguyên lẽ ra phải nằm ngoài ranh giới, xác nhận rằng dịch vụ của máy chủ không trả lời từ phía bên kia, và kiểm tra rằng trình trợ giúp thông tin xác thực không lặng lẽ phục vụ cả hai miền.

Hãy lưu hồ sơ cùng với thiết bị, không chỉ trong phiếu hỗ trợ, để người tiếp theo thừa hưởng cách sắp xếp này biết ranh giới nào là có chủ đích. Một máy tính xách tay có hai đường hầm và không có ranh giới bằng văn bản thì không thể phân biệt với một cấu hình sai.