Aanvaardingstoetse vir ’n virtuele VPN-gateway met tweefaktor-aanmelding
Bewys die gateway stap vir stap: inskrywing, aanmelding, weiering, herroeping en herstel, elk met ’n bewysstuk en ’n slaagvoorwaarde wat voor die toets geskryf is.
Vervaardigers beskryf hierdie toestel as virtueel en tweefaktor-bekwaam, en nie een van dié woorde beantwoord die vrae wat die aankoop bepaal nie. Watter hipervisor-beeld ondersteun word, watter kliënte kan inskryf, wat die tweede faktor werklik bewys, en wat gebeur wanneer die identiteitsverskaffer afgaan, is steeds oop. Maak daarvan aanvaardingstadia wat jy in ’n oefening kan uitvoer, en die besluit hou op om af te hang van hoe oortuigend die datablad is. Die blad hieronder is ’n struktuur vir daardie bewyse, nie ’n ranglys van produkte nie.
Wat die verskaffer oor hierdie ontplooiing moet bevestig
Begin deur die ontplooiing op een bladsy vas te pen: die hipervisor of wolk, die gasheer-argitektuur, die ondersteunde beeld en die koppelvlakke wat die toestel verwag. Voeg die gebruikers by, met hul bedryfstelsels, of toestelle bestuur word, en hoe inskrywing en aanmelding veronderstel is om te werk. Dan die privaat toegang: toepassings en voorvoegsels, DNS-reëling, terugpaaie, en of ’n openbare internet-uitgang deel van die aanbod is.
Bedryf hoort op dieselfde bladsy: wie die kas instandhou, waar opdaterings vandaan kom, waar logs heen gaan, hoe die konfigurasie beskerm word, en watter hersteldoelwit die besigheid werklik ooreengekom het. Vra die verskaffer om daardie presiese kombinasie te bevestig eerder as dat die sagteware in ’n virtuele masjien loop. Hou eksterne afhanklikhede soos ’n identiteitsverskaffer of ’n lisensiediens sigbaar, want hulle is deel van die ontplooiing of hulle dit nou saamverskeep of nie. ’n Ontplooiingsblad sonder ’n genoemde afhanklikheid is gewoonlik ’n ontplooiingsblad met ’n onbekende afhanklikheid.
Bewys dat die tweede faktor ’n tweede faktor is
Noem die verifikator en die verifikasievloei, en sê watter identiteit elke stap vestig. Twee wagwoordaanvrae agter mekaar is nie ’n tweede faktor nie, en ’n wagwoord plus ’n eenmalige kode is ’n ander bewering as ’n kriptografiese verifikator wat aan die diens gebind is. Skryf die vloei neer wat jy koop eerder as die etiket op die kas.
Weerstand teen uitvissing is ’n aparte eienskap, en die NIST-riglyne vir verifikators behandel dit as sodanig: ’n kode wat ’n gebruiker mislei kan word om deur te gee, bevredig steeds multifaktor-verifikasie terwyl dit daardie ekstra voorwaarde faal. Vra eksplisiet na die eienskap as dit vir jou saak maak. Vereis dan ’n demonstrasie van die kliënttipe wat jou gebruikers werklik gebruik, wat inskrywing dek, ’n uitdaging wat verwerp of verval het, herstel ná ’n verlore verifikator, en herroeping van een gebruiker terwyl ander verbind bly. Hou gateway-identiteitsverifikasie in die bestek, want ’n kliënt wat enige gateway vertrou, het die probleem verskuif eerder as opgelos.
Skryf die slaagvoorwaarde voordat jy iets breek
Die tabel hieronder is die deel van die blad wat kontak met ’n verskaffer oorleef, want elke ry vra ’n bewysstuk in plaas van ’n versekering. Vul die slaagvoorwaarde in voor die oefening, en behandel ’n ry sonder bewyse as ’n gefaalde ry. Vyf stadiums dek wat ’n gateway moet doen.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Inskrywing kom eerste omdat alles daarna daarvan afhang: ’n toestel wat nie kan inskryf nie, kan nie getoets word nie. Aanmelding is ’n aparte stadium van inskrywing, en weiering is die stadium wat die meeste blaaie vergeet, want ’n gateway wat almal toelaat, is nie bewys dat dit iemand weier nie. Herroeping en herstel hou die meeste operasionele risiko in, en albei is goedkoop om op ’n kopie te oefen.
Oefen op die kopie, nie die lewende gateway nie
Voer die ontwrigtende stadiums op ’n kopie van die platform uit, volgens die ondersteunde ontplooiingsprosedure, en hou elke bewysstuk met sy datum en konfigurasieweergawe. ’n Herbegin-ry word nie beantwoord deur ’n herbegin vanaf die konsole nie, en ’n herstel-ry word nie beantwoord deur die konfigurasie uit te voer nie. Let op watter toestand vanself terugkeer en wat moet herverbind, want daardie verskil is wat die bedryfspan erf. Die oefening is ook die enigste kans om ’n herstel te tyd sonder om ’n onderbreking te verduidelik.
Teken die identiteitsverskaffer se toestand op die oomblik van elke toets aan, want ’n onderbrekingsry wat teen ’n gesonde verskaffer getoets is, bewys die teenoorgestelde van wat die blad beweer. Twee resensente by dieselfde oefening vang verskillende dinge, en die tweede een vind gewoonlik die ry waarvan die bewys ’n skermskoot van ’n paneelbord is. Hou daardie bewys aangeheg by die ry waaraan dit behoort, nie in ’n gids wat na die projek vernoem is nie.
Meet die werklading wat jou span gaan uitvoer
Bepaal ’n werklading wat op ’n normale week lyk, en meet dit dan waar jy van plan is om te ontplooi: gelyktydigheid, verkeersamestelling, en die instandhoudingsvenster wat die span werklik het. ’n Geadverteerde deurset-syfer beskryf ’n laboratoriumtoestand en sê niks oor jou gebruikers nie. Meet die herstel teen die hersteldoelwit eerder as teen die plan.
Die blad is klaar wanneer elke stadium ’n bewysstuk het en elke bewysstuk ’n datum het. ’n Toestel wat iemand instandhou, met bewyse vir elke ry, is ’n ander aankoop as die langste lys aangevinkte blokkies.