VPN دائم التشغيل: فصل المسار والإذن والجلسة
قد يكون النفق دائم التشغيل مناسبًا لفرع وغير مناسب لحاسوب محمول منسي. راجع الحالات الثلاث التي يبقيها حية، وما الذي تنهيه الإزالة فعلاً.
إبقاء النفق مفتوحًا على مدار الساعة قرار تصميمي له نسخة مشروعة ونسخة مهملة. الفرع الذي يحتاج تطبيقًا مركزيًا طوال اليوم، مع مهمة نسخ احتياطي ليلية، لديه سبب. الحاسوب المحمول المتروك متصلاً في غرفة فندق ثلاثة أيام حادث.
كلاهما يعرض الأيقونة الخضراء نفسها، وكلاهما يجيب بالطريقة نفسها إذا سألت عن مدة بقاء النفق. ذلك الرقم ليس المهم. المهم هو ما يبقيه الاتصال متاحًا، ولمن، وما الذي ينهيه فعلاً.
ثلاث ساعات تعمل منفصلة
الحالة الأولى هي المسار. النفق وسياساته يجعلان مجموعة خدمات قابلة للوصول، ووصلة بلا حركة يمكن أن تبقى جاهزة للطلب التالي. مدة بقائها جاهزة قرار تنفيذي، لا مؤقت عالمي.
الحالة الثانية هي الإذن. هوية أو جهاز مقبول قد يكون مخوّلاً لاستخدام ذلك المسار. يجب أن يتغير هذا التخويل عندما يتغير الدور، أو يختفي جهاز، أو يُشتبه في اختراق، وهو مستقل عن تدفق الحزم.
الحالة الثالثة هي جلسة التطبيق نفسه. عميل قاعدة بيانات أو سطح مكتب بعيد أو تطبيق ويب يوثّق نفسه منفصلاً ويحتفظ بحالته. إغلاق النفق لا ينهي بالضرورة أيًا منها.
المراجعة التي تتعامل مع هذه الثلاث كسؤال واحد تنتهي بالجدال حول مؤقتات الخمول. كل واحدة منها قد تكون سليمة أو معطلة بمفردها، والنتيجة في واحدة لا تقول إلا القليل عن الأخريات. قائمة تحقق من ثلاثة أسطر أفضل من جدال حول قيمة مهلة واحدة. اكتب الإجابة لكل حالة على حدة.
النفق مسار، لا شارة
النفق القائم دليل على وجود مسار محمي بين طرفين. وهو ليس دليلًا على أن كل عملية خلف أي طرف يجب أن تصل إلى كل خدمة على الجانب الآخر.
إرشادات الثقة الصفرية من NIST تطرح النقطة نفسها من الاتجاه المعاكس: لا ينبغي معاملة موقع الشبكة كائتمان ضمني. وصلة الموقع حقيقة نقل، وإذن مضيف واحد باستخدام تطبيق واحد قرار منفصل له مالكه.
القرين المخترق قد يحاول أفعالاً ضارة عبر خدمات يُسمح له بالوصول إليها. الترشيح والمراقبة يقللان مخاطر محددة دون محو عواقب اختراق الطرف. صمّم للمسار، وامنح الإذن للخدمة.
تبرير وصلة موقع دائمة
النسخة القابلة للدفاع من التشغيل الدائم تسمّي غرضها بدقة. أي المصادر، وأي الوجهات، وأي الاتجاه، ومن يملك كل إدخال. جدار حماية الفرع الذي يسمح لكل مضيف فرع بكل شبكة فرعية مركزية لم يحتفظ بوصلة لغرض مسمّى؛ بل احتفظ بها لأي شيء يفكر فيه أحد لاحقًا.
حين لا يستطيع قرين بلوغ مستوى الثقة المطلوب، ضيّق الحدود أو غيّر الترتيب. الاعتماد على فصل يدوي عابر هو ضابط عملية، وضوابط العملية هي الأقل موثوقية بالضبط حين يجعلها حادث ما غير مريحة.
احتفظ بالتبرير مع الإعدادات. الاستثناء الدائم بغرض مكتوب يمكن مراجعته وإلغاؤه. أما بلا غرض فيصبح دائمًا افتراضيًا.
تغيير المفاتيح ليس إبطالاً
استبدال المفاتيح وفق جدول يحافظ على دورة حماية. يجدد المادة ويحفظ السرية. لكنه لا يزيل استحقاق الطرف.
إذا كان الطرف لا يزال يحمل بيانات اعتماد صالحة وسياسة وصول تقبله، فالتفاوض التالي يعيد المسار المسموح نفسه. لهذا فإن تدوير المفاتيح كل ساعة ليس جوابًا عن جهاز مفقود: الجهاز المفقود يدوّر أيضًا ما دامت هويته موثوقة. افحص الاستحقاق قبل أن تفحص الجدول. التدوير نظافة، والإبطال قرار وصول.
الإبطال آلية مختلفة بزمن تأخير خاص: شهادة ملغاة، حساب معطّل، مجموعة متغيرة، قاعدة شبكة محذوفة. كل منها يسري في نقطة مختلفة، وكل منها يتصرف بشكل مختلف مع الجلسات القائمة.
إنهاء ما يعمل بالفعل
اسأل عما يفعله التنفيذ بالجلسات القائمة عند إزالة الوصول. قد ينهيها، أو ينتظر انتهاءها، أو يطبق سلوكًا موثقًا بينهما. لا تفترض أن تغيير قبول الغد يغلق اتصال تطبيق اليوم.
للوصول التفاعلي، ضع حدود الجلسة وقواعد الخمول بيد مالكي الهوية والـVPN وليس فريق الشبكة وحده. لخدمة موقع، حدد الإجراء الذي تستخدمه الصيانة أو الانقطاع أو حادث أمني لتعطيل الوصول.
ثم اختبر ثلاثة نتائج: العمل المسموح ما زال يعمل، خدمة غير ذات صلة تُرفض، وإجراء الإزالة ينتج النتيجة الموثقة. تصميم دائم التشغيل مقبول عندما يكون غرضه وتخويله وقدرته على الإيقاف مكتوبة وممارسة. وإلا فهو راحة عاشت أطول من سببها.