Twee VPN-hekke in reeks: wat elkeen werklik besluit
Twee VPN-fases in reeks behoort twee afsonderlike toestemmingsbesluite te beteken. Benoem wat elke hek nagaan, en toets dan wat die binneste een weier.
Die koppeling van twee VPN's word gewoonlik as ekstra versyfering verkoop, wat die mins interessante ding is wat dit doen. Die werklike produk is 'n tweede magtigingsbesluit, geneem deur 'n ander eienaar teen 'n ander stel hulpbronne. As beide fases dieselfde geloofsbrief aanvaar en dieselfde bestemmings bereik, is die binneste hek versiering met ekstra latensie. Om te besluit of daardie tweede besluit sy bedryfskoste werd is, begin met die benoeming van wat elke hek werklik verifieer.
Een tonnel, dan 'n tweede besluit
Die buitenste hek antwoord 'n breë vraag: is dit 'n goedgekeurde werknemerstoestel, en mag dit die algemene interne netwerk bereik. Die binneste hek antwoord 'n nouer een: dra hierdie identiteit die onderhoudsbevoegdheid, en mag dit hierdie spesifieke bestuursendpunte bereik. Dit is verskillende vrae met verskillende eienaars, en nie een impliseer die ander nie. 'n Pad wat deur beide fases bestaan, is nie gesag om te gebruik wat agter die tweede een sit nie. Om die verre ingang te bereik bewys dat 'n roete werk, en niks meer nie.
Die beginsel is oud en word steeds geïgnoreer: netwerklokasie pleit vir niks op sigself. Die NIST se samevatting van zero-trust-argitektuur stel dit duidelik, en verwerp impliciete vertroue wat volg uit waar 'n verbinding vandaan kom of wie die netwerk besit. Toegepas hier, is die bereiking van die binneste ingang 'n voorwaarde vir sy hulpbronne, nooit die toestemming om hulle te gebruik nie.
Skryf neer wat elke hek verifieer
Teken vir elke fase die identiteit aan wat dit nagaan, die bestemmings wat dit toelaat, en die voorwaardes waaronder dit oorgeslaan kan word. Die buitenste hek mag wettiglik gewone interne dienste plus die binneste poort se luisteraar toelaat, en niks anders nie. Die binneste hek mag 'n rol-eis vereis en slegs die bestuursadresse toelaat wat in die veranderingsrekord genoem word. Die toepassing aan die verre kant hou die laaste woord oor watter bewerkings daardie rol mag uitvoer, so die ketting voeg 'n hek by sonder om toepassingstoestemming te vervang.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Twee weglatings breek die ontwerp stilweg. As die buitenste domein reeds elke sensitiewe bestemming direk bereik, is die binneste hek opsioneel eerder as verpligtend. As 'n openbare luisteraar of 'n tweede privaat roete dieselfde toegang bied, is die beoogde pad een opsie onder verskeie. Wys ook 'n eienaar aan elke reëlstel toe, en laat hulle kontrak bestemmingsdienste, toegelate bronidentiteite, private DNS, adresvertaling en wie antwoord wanneer die oorhandiging misluk, benoem. 'n Adres wat op die buitenste netwerk vertrou word, mag nooit in die plek van die binneste domein se magtiging staan nie.
Toets die weieringsgevalle, nie die gelukkige pad nie
'n Suksesvolle verbinding deur beide hekke bewys baie min, want dit is die geval wat almal tydens die uitrol getoets het. Die interessante gevalle is dié waar een fase slaag en die ander weier. Drie daarvan dek die meeste van die risiko, en elkeen het 'n verwagte uitkoms wat nagegaan kan word eerder as beredeneer.
Met algemene toegang goedgekeur en die sensitiewe rol afwesig, moet gewone werk voortgaan terwyl die sensitiewe bestemming geweier word. Keur beide fases goed en die bereikbare stel moet die onderhoudsendpunte wees wat in die veranderingsrekord genoem word, niks wyer nie. Met die bevoegdheid midde-in die sessie herroep, moet die ooreengekome sessiebeleid in werking tree sonder om onverwante algemene toegang af te breek. Of daardie herroeping 'n bestaande sessie dadelik of by die volgende herautentisering beëindig, is 'n beleidsbesluit wat die kontrak reeds behoort te bevat. Wie die aanvaardingsgevalle geskryf het, is nie die persoon wat hulle tydens 'n voorval behoort te interpreteer nie.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Tel die afhanklikhede wat jy bygevoeg het
Elke ekstra fase voeg 'n komponent by wat kan misluk en 'n roete wat korrek binne die buitenste tonnel moet nes. Tydens 'n gedeeltelike mislukking bly die buitenste pad op terwyl die binneste een onbereikbaar is, so die gebruiker sien 'n gesonde VPN-ikoon langs 'n diens wat nooit antwoord nie.
Gaan die roetes en die blokkeringsreëls onder mislukking na eerder as net in die normale geval. 'n Verstekroete wat deur die buitenste tonnel gestuur word, kan die binneste poort se eie adres vasvang, wat die tweede fase in 'n verbinding verander wat vestig en dan val. Teken aan wat veronderstel is om geblokkeer te bly terwyl die binneste tonnel weg is, want 'n toevallige terugval daaromheen is erger as 'n skoon onderbreking. Gebruik dieselfde peilingvorm op beide spronge, sodat elkeen gemeet word eerder as aangeneem. Twee gekoppelde statusaanwysers vestig nóg nes, nóg isolasie.
Wat die tweede hek nie vir jou kan koop nie
Vra of die twee hekke 'n geloofsbrief, 'n sertifikaatowerheid of 'n bestuursvlak deel. Waar hulle dit doen, deel hulle ook hul belangrikste mislukkingsmodusse, en die tweede fase kos meer as die onafhanklikheid wat dit skynbaar byvoeg. Afsonderlike kriptografiese sessies skep nie afsonderlike administratiewe beheermaatreëls nie.
Hou die binneste hek terwyl dit 'n vereiste afdwing wat jy kan stel en toets, soos 'n rol wat die buitenste domein nooit nagaan nie. Laat vaar dit wanneer sy enigste taak is om dieselfde identiteit teen dieselfde bestemmings te herautentiseer. Hoe dit ook al sy, teken die vereiste, die eienaar en die mislukkingsgedrag saam aan, sodat die volgende hersiening oor die vereiste redeneer eerder as oor die diagram.