Always-on VPN: yol, icazə və sessiyanı ayırmaq

Tuneli gecə-gündüz açıq saxlamaq dizayn seçimidir və onun əsaslı variantı da, səhlənkar variantı da var. Gün boyu mərkəzi tətbiqə ehtiyacı olan filialın, üstəlik gecəlik ehtiyat nüsxə işinin buna səbəbi var. Otel otağında üç gün qoşulmuş qalan noutbuk isə qəzadır.

Hər ikisi eyni yaşıl işarəni göstərir və tunelin nə qədər açıq olduğunu soruşsanız, eyni cavabı verir. Maraqlı olan o rəqəm deyil. Əsas olan odur ki, bağlantı nəyi əlçatan saxlayır, kimə və onu həqiqətən nə bitirir.

Ayrı-ayrı işləyən üç saat

Birinci vəziyyət yoldur. Tunel və onun siyasətləri müəyyən xidmətləri əlçatan edir və trafiki olmayan əlaqə növbəti sorğu üçün hazır qala bilər. Nə qədər hazır qalması tətbiq qərarıdır, universal taymer deyil.

İkinci vəziyyət icazədir. Qəbul edilmiş şəxsiyyət və ya cihaz həmin yoldan istifadəyə səlahiyyətli ola bilər. Bu səlahiyyət rol dəyişəndə, cihaz itəndə və ya yoluxma şübhəsi yarananda dəyişməlidir və paketlərin axmasından asılı deyil.

Üçüncü vəziyyət tətbiqin öz sessiyasıdır. Verilənlər bazası müştərisi, uzaq iş masası və ya veb tətbiq ayrıca autentifikasiya edir və öz vəziyyətini saxlayır. Tuneli bağlamaq onların heç birini mütləq bitirmir.

Bu üçünü bir sual kimi götürən baxış boşdayanma taymerləri barədə mübahisəyə çevrilir. Üçü də təkbaşına sağlam və ya pozulmuş ola bilər və birindəki nəticə digərləri haqqında az deyir. Üç sətirlik yoxlama siyahısı tək bir gözləmə dəyəri mübahisəsindən yaxşıdır. Cavabı hər vəziyyət üçün ayrıca yazın.

Tunel yoldur, nişan deyil

Qurulmuş tunel iki son nöqtə arasında qorunan yolun olduğuna dəlildir. Bu, hər hansı son nöqtənin arxasındakı hər prosesin digər tərəfdəki hər xidmətə çatmalı olduğuna dəlil deyil.

NIST-in sıfır etimad tövsiyələri eyni fikri əks istiqamətdən deyir: şəbəkə yeri gizli etimad kimi qəbul edilməməlidir. Sayt əlaqəsi nəqliyyat faktıdır və bir hostun bir tətbiqə icazəsi öz sahibi olan ayrı qərardır.

Yoluxmuş tərəfdaş icazə verilən xidmətlər vasitəsilə zərərli hərəkətlərə cəhd edə bilər. Filtrləmə və monitorinq müəyyən riskləri azaldır, lakin son nöqtənin yoluxmasının nəticələrini silmir. Yol üçün dizayn edin, xidmət üçün icazə verin.

Daimi sayt əlaqəsini əsaslandırmaq

Daimi açıq variantın müdafiə oluna bilən forması məqsədini dəqiq adlandırır. Hansı mənbələr, hansı təyinatlar, hansı istiqamət və hər qeydin sahibi kimdir. Hər filial hostuna hər mərkəzi alt şəbəkəyə icazə verən filial firewallu adlandırılmış məqsəd üçün əlaqə saxlamayıb; onu sonradan kiminsə ağlına gələn hər şey üçün saxlayıb.

Tərəfdaş tələb olunan etimad səviyyəsinə çata bilmirsə, sərhədi daraldın və ya düzəlişi dəyişin. Ara-sıra əl ilə ayırmaya güvənmək proses nəzarətidir və proses nəzarətləri məhz insident onları əlverişsiz edəndə ən az etibarlı olur.

Əsaslandırmanı konfiqurasiya ilə birlikdə saxlayın. Yazılı məqsədi olan daimi istisna nəzərdən keçirilib ləğv edilə bilər. Məqsədsiz istisna isə susmaya görə daimi olur.

Açar dəyişdirmə ləğvetmə deyil

Açarları cədvəl üzrə dəyişmək müdafiə dövrünü qoruyur. Materialı təzələyir və məxfiliyi saxlayır. Lakin son nöqtənin hüququnu götürmür.

Son nöqtədə hələ etibarlı etimadnamələr və onu qəbul edən giriş siyasəti varsa, növbəti danışıq eyni icazəli yolu bərpa edir. Buna görə açarların saatlıq fırlanması itirilmiş cihaza cavab deyil: şəxsiyyəti etibarlı qaldıqca itirilmiş cihaz da fırlanır. Cədvəli yoxlamadan əvvəl hüququ yoxlayın. Fırlanma gigiyenadır, ləğvetmə isə giriş qərarıdır.

Ləğvetmə öz gecikməsi olan ayrı mexanizmdir: ləğv edilmiş sertifikat, deaktiv edilmiş hesab, dəyişdirilmiş qrup, silinmiş şəbəkə qaydası. Hər biri fərqli nöqtədə qüvvəyə minir və artıq qurulmuş sessiyalara fərqli təsir edir.

Artıq işləyəni bitirmək

Giriş silinəndə tətbiqin qurulmuş sessiyalarla nə etdiyini soruşun. Onları dayandıra, bitməsini gözləyə və ya arada sənədləşdirilmiş davranış tətbiq edə bilər. Sabahkı giriş dəyişikliyinin bugünkü tətbiq bağlantısını bağladığını güman etməyin.

İnteraktiv giriş üçün sessiya limitlərini və hərəkətsizlik qaydalarını yalnız şəbəkə komandasına deyil, şəxsiyyət və VPN sahiblərinə verin. Sayt xidməti üçün texniki xidmət, kəsinti və ya təhlükəsizlik hadisəsinin girişi söndürmək üçün istifadə etdiyi proseduru müəyyənləşdirin.

Sonra üç nəticəni yoxlayın: icazəli iş hələ də işləyir, əlaqəsiz xidmət rədd edilir və silmə proseduru sənədləşdirilmiş nəticəni verir. Daimi açıq dizayn məqsədi, səlahiyyəti və dayandırma qabiliyyəti yazılıb tətbiq olunduqda məqbuldur. Əks halda səbəbini yaşatmış bir rahatlıqdır.