Đặt cổng VPN bên cạnh Windows XP, không phải bên trong nó

Đâu đó trong tòa nhà có một cỗ máy chạy một ứng dụng mà không ai có thể thay thế, trên một hệ điều hành không nên kết nối với bất cứ thứ gì. Đi ra ngoài từ card mạng của máy chủ đó là cách nhanh nhất để thấy đường hầm thuộc về đâu. Trong hầu hết các thiết kế, nó hoàn toàn không thuộc về máy chủ. Chuyển nó ra xa một bước, sang một cổng được duy trì, và vấn đề cũ thu lại về ứng dụng mà nó bắt đầu.

Bắt đầu từ card mạng của máy chủ, không phải từ ứng dụng khách VPN

Mở thuộc tính card mạng và cấp cho máy chủ một địa chỉ cố định trên một phân đoạn nhỏ chuyên dụng, với cổng là tuyến mặc định của nó. Máy chủ sau đó không cần ứng dụng khách đường hầm, thông tin xác thực đường hầm hay các mục bảng định tuyến đi vào mạng doanh nghiệp rộng hơn. Nếu ứng dụng cần một mạng con từ xa, hãy thêm đúng tuyến đó.

C:\> route add 10.20.30.0 mask 255.255.255.0 192.168.50.1 -p

Lệnh đó ghim một đích duy nhất vào cổng và để mọi thứ khác không có tuyến, và đó là hình dạng bạn muốn. Xác nhận kết quả bằng route print thay vì tin vào mã thoát. Sau đó kiểm tra xem ứng dụng còn phân giải tên máy chủ của nó không, vì một máy chủ cũ với bộ phân giải hỏng trông giống hệt một sự cố mạng, và sửa bộ phân giải là việc năm phút trong khi xây dựng lại ứng dụng sau một thay đổi mạng sai thì không phải. Mỗi đích mà máy chủ không đến được là một thứ ít hơn mà một chồng giao thức mạng cũ có thể bị dụ để tấn công.

Đặt đường hầm trên phần cứng bạn có thể cập nhật

Cổng muốn hai giao diện: một hướng tới phân đoạn máy chủ và một hướng tới nơi ứng dụng sống, với đường hầm kết thúc ở giao diện thứ hai. Thiết bị đó có thể nhận cập nhật firmware, thay cấu hình mật mã và ghi nhật ký luồng mà không ai chạm vào cỗ máy cũ. Nhà cung cấp của nó cũng gửi bản sửa cho phần triển khai đường hầm, thứ mà máy chủ sẽ không bao giờ nhận được. Hai cỗ máy và một hạn chót không phải lý do để sao chép một công thức bí mật tĩnh từ bài đăng diễn đàn.

Cấp cho mỗi cổng danh tính ngang hàng riêng thay vì sao chép một cấu hình khách trên toàn bộ đội. Khi thay một đơn vị, hãy thu hồi danh tính cũ đúng lúc bạn đưa cái mới lên mạng, nếu không bạn sẽ còn hai bản sao không kiểm soát xác thực cùng một điểm cuối. Lưu khóa ở nơi mặt phẳng quản lý của cổng mong đợi, coi bản sao lưu cấu hình là bí mật và xem lại ai có thể đẩy cấu hình đó, vì giờ nó quyết định máy chủ cũ đến được đâu.

Cho phép dịch vụ, không phải mạng

Viết chính sách theo giao thức, cổng và hướng giữa hai điểm kết nối. Một cổng được phép tới một địa chỉ ứng dụng là câu trả lời thông thường, và một đường quản trị qua máy chủ nhảy bao phủ phần còn lại.

Quản trị từ xa máy chủ cũ không nên đi theo cùng quy tắc với ứng dụng, và thử nghiệm việc từ chối quan trọng như viết quy tắc. Gửi một yêu cầu từ máy chủ đến một đích mà bạn mong bị từ chối và xác nhận rằng việc từ chối đến từ chính sách chứ không phải từ một tuyến thiếu. Ghi nhật ký các luồng bạn cho phép khi thiết kế còn mới, để thấy ứng dụng thực sự dùng gì chứ không phải tài liệu của nó nói gì. Gộp hai mạng con vì một hướng dẫn bắc cầu trông ngắn hơn là cách một phân đoạn cũ lặng lẽ trở thành bàn đạp.

Không phơi bày trình lắng nghe cũ trực tiếp ra internet như một lối tắt quanh cổng. Giữ đường quản trị tách khỏi đường ứng dụng để việc xâm phạm một bên không trao bên kia. Một quy tắc không bao giờ được thực thi là quy tắc không ai đã xác minh, vì vậy đích bị từ chối thuộc về lần chạy chấp nhận.

Khôi phục phải hoạt động mà không cần đường hầm

Quyết định ai cập nhật và khôi phục cổng trước sự cố đầu tiên, và đảm bảo người đó đến được nó mà không cần đường hầm mà nó kết thúc. Truy cập bảng điều khiển, cổng quản lý cục bộ hoặc đường ngoài băng đều được tính là câu trả lời. Một cổng chỉ có thể cấu hình qua đường hầm mà nó cung cấp là một cái bẫy kiên nhẫn chờ một lần đẩy firmware tồi.

Viết runbook cho sự cố bạn thực sự sẽ gặp: đường hầm xuống, cổng chết, đĩa máy chủ mất. Giữ ảnh khôi phục của máy chủ theo bất kỳ thỏa thuận hỗ trợ nào còn tồn tại, và nhớ rằng khôi phục cũng khôi phục trạng thái phần mềm và thông tin xác thực trong ảnh đó. Khôi phục trước vào phân đoạn cô lập, xác nhận ứng dụng khởi động và chỉ sau đó mới kết nối lại bất cứ thứ gì; khi cổng thay đổi, cập nhật runbook và kiểm kê trong cùng một phiên.

Chứng chỉ, đồng hồ và cảnh báo chữ ký

Việc chứng chỉ của trình cài đặt hết hạn tự nó không dự đoán được kiểm tra chữ ký sẽ nói gì hôm nay. Hướng dẫn của Microsoft về dấu thời gian Authenticode giải thích rằng dấu thời gian có thể giữ chữ ký có thể xác minh sau khi chứng chỉ ký hết hạn, và việc xác nhận vẫn phụ thuộc vào chữ ký, chuỗi tin cậy và trình xác minh thực hiện công việc. Vì vậy hai cỗ máy có kho tin cậy khác nhau có thể không đồng ý về cùng một tệp. Một người ký hết hạn không phải bằng chứng rằng tệp nhị phân là độc hại, và một chữ ký hợp lệ không phải bằng chứng rằng phần mềm được duy trì.

Không lùi đồng hồ hệ thống và không tắt kiểm tra chữ ký để làm trình cài đặt cũ chạy. Lấy một hiện vật được ủy quyền từ người vẫn hỗ trợ ứng dụng và để họ nói nền tảng chấp nhận gì. Coi các bài đăng tuyên bố một bản dựng nào đó là bản cuối cho XP là lịch sử chứ không phải mục tiêu cài đặt, vì yêu cầu thực sự phụ thuộc vào ứng dụng; nếu công việc bảo tồn thực sự cần thiết, hãy giữ nó trên một phân đoạn cô lập xa quyền truy cập sản xuất và ghi lại vì sao nó tồn tại.