بوابتان لشبكة VPN على التوالي: ما الذي تقرره كل واحدة فعلاً
مرحلتان لشبكة VPN على التوالي ينبغي أن تعنيا قراري تصريح منفصلين. سمِّ ما تتحقق منه كل بوابة، ثم اختبر ما ترفضه البوابة الداخلية.
عادةً ما يُباع تسلسل شبكتَي VPN على أنه تشفير إضافي، وهو أقل ما يقدمه فائدة. المنتج الحقيقي هو قرار تصريح ثانٍ، يتخذه مالك مختلف مقابل مجموعة مختلفة من الموارد. وإذا كانت المرحلتان تقبلان الاعتماد نفسه وتصلان إلى الوجهات نفسها، فالبوابة الداخلية زينة تكلّف زمن وصول إضافيًا. ويبدأ تقرير ما إذا كان هذا القرار الثاني يستحق تكلفته التشغيلية بتسمية ما تتحقق منه كل بوابة فعلاً.
نفق واحد، ثم قرار ثانٍ
تجيب البوابة الخارجية عن سؤال واسع: هل هذا جهاز موظف معتمد، وهل يجوز له الوصول إلى الشبكة الداخلية العامة. وتجيب البوابة الداخلية عن سؤال أضيق: هل تحمل هذه الهوية استحقاق الصيانة، وهل يجوز لها الوصول إلى نقاط الإدارة المحددة هذه. هذان سؤالان مختلفان بمالكين مختلفين، ولا يستلزم أحدهما الآخر. ووجود مسار عبر المرحلتين ليس سلطة لاستخدام ما يقف خلف الثانية. الوصول إلى المدخل البعيد يثبت أن المسار يعمل، لا أكثر.
المبدأ قديم ولا يزال يُتجاهل: الموقع الشبكي لا يحتج بشيء بذاته. و ملخّص بنية الثقة المعدومة لدى NIST يضعه بوضوح، رافضًا الثقة الضمنية التي تنبع من مصدر الاتصال أو من مالك الشبكة. وبتطبيقه هنا، فإن الوصول إلى المدخل الداخلي شرط مسبق لموارده، وليس أبدًا تصريحًا لاستخدامها.
دوّن ما تتحقق منه كل بوابة
سجّل لكل مرحلة الهوية التي تفحصها، والوجهات التي تسمح بها، والظروف التي يمكن فيها تجاوزها. قد تسمح البوابة الخارجية مشروعًا بالخدمات الداخلية العادية إضافة إلى مستمع البوابة الداخلية، ولا شيء غير ذلك. وقد تشترط البوابة الداخلية مطالبة بدور ولا تسمح إلا بعناوين الإدارة المذكورة في سجل التغيير. ويحتفظ التطبيق في الطرف البعيد بالكلمة الأخيرة في العمليات التي يجوز لهذا الدور أداؤها، فالسلسلة تضيف بوابة دون أن تحل محل تصريح التطبيق.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
إغفالان يفسدان التصميم بهدوء. فإذا كان النطاق الخارجي يصل أصلاً إلى كل وجهة حساسة مباشرةً، فالبوابة الداخلية اختيارية لا إلزامية. وإذا كان مستمع عام أو مسار خاص ثانٍ يوفر الوصول نفسه، فالمسار المقصود خيار من بين عدة خيارات. وعيّن مالكًا لكل مجموعة قواعد أيضًا، واجعل عقدها يسمّي خدمات الوجهة والهويات المصدرية المسموح بها وDNS الخاص وترجمة العناوين ومن يجيب عند فشل التسليم. ويجب ألا يحل عنوان موثوق في الشبكة الخارجية أبدًا محل تصريح النطاق الداخلي.
اختبر حالات الرفض، لا المسار السعيد
اتصال ناجح عبر البوابتين يثبت القليل جدًا، لأن تلك هي الحالة التي اختبرها الجميع أثناء النشر. الحالات المثيرة للاهتمام هي التي تنجح فيها مرحلة وترفض الأخرى. وثلاث منها تغطي معظم المخاطر، ولكل منها نتيجة متوقعة يمكن التحقق منها بدلًا من الجدال حولها.
مع اعتماد الوصول العام وغياب الدور الحساس، يجب أن يستمر العمل العادي بينما تُرفض الوجهة الحساسة. واعتمد المرحلتين فيجب أن تكون المجموعة القابلة للوصول هي نقاط نهاية الصيانة المذكورة في سجل التغيير، لا أوسع. ومع سحب الاستحقاق في منتصف الجلسة، يجب أن تسري سياسة الجلسة المتفق عليها دون قطع الوصول العام غير ذي الصلة. أما ما إذا كان هذا السحب ينهي جلسة قائمة فورًا أو عند إعادة المصادقة التالية، فذلك قرار سياسة ينبغي أن يحتويه العقد سلفًا. ومن كتب حالات القبول ليس الشخص الذي ينبغي أن يفسرها أثناء حادث.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"أحصِ التبعيات التي أضفتها
كل مرحلة إضافية تضيف مكوّنًا قد يفشل ومسارًا يجب أن يتداخل بشكل صحيح داخل النفق الخارجي. وأثناء فشل جزئي يبقى المسار الخارجي قائمًا بينما يكون الداخلي غير قابل للوصول، فيرى المستخدم أيقونة VPN سليمة بجانب خدمة لا تجيب أبدًا.
افحص المسارات وقواعد الحجب في ظل الفشل لا في الحالة الطبيعية فقط. فمسار افتراضي يدفعه النفق الخارجي قد يلتقط عنوان البوابة الداخلية نفسه، فيحوّل المرحلة الثانية إلى اتصال يُنشأ ثم يسقط. وسجّل ما يُفترض أن يبقى محجوبًا بينما يكون النفق الداخلي غائبًا، لأن الارتداد العرضي حوله أسوأ من انقطاع نظيف. واستخدم شكل الفحص نفسه على القفزتين، بحيث تُقاس كل منهما بدلًا من افتراضها. ومؤشرا حالة متصلان لا يثبتان لا التداخل ولا العزل.
ما لا تستطيع البوابة الثانية شراءه لك
اسأل عمّا إذا كانت البوابتان تتشاركان اعتمادًا أو جهة إصدار شهادات أو مستوى إدارة. وحيثما تفعلان ذلك، تتشاركان أيضًا أخطر أنماط فشلهما، وتكلّف المرحلة الثانية أكثر مما تضيفه من استقلال ظاهري. الجلسات التشفيرية المنفصلة لا تنشئ ضوابط إدارية منفصلة.
أبقِ البوابة الداخلية ما دامت تفرض متطلبًا يمكنك صياغته واختباره، مثل دور لا تتحقق منه البوابة الخارجية أبدًا. وأسقطها عندما تكون وظيفتها الوحيدة إعادة مصادقة الهوية نفسها على الوجهات نفسها. وفي الحالتين، سجّل المتطلب والمالك وسلوك الفشل معًا، كي تناقش المراجعة التالية المتطلب لا الرسم.