Sırayla iki VPN qapısı: hər biri əslində nəyə qərar verir
Sırayla iki VPN mərhələsi iki ayrı icazə qərarı demək olmalıdır. Hər qapının nəyi yoxladığını adlandırın, sonra daxili qapının nəyi rədd etdiyini sınaqdan keçirin.
İki VPN-in zəncirlənməsi adətən əlavə şifrələmə kimi satılır, halbuki bu, onun ən az maraqlı işidir. Əsl məhsul fərqli sahib tərəfindən fərqli resurs dəsti üzərində verilən ikinci icazə qərarıdır. Əgər hər iki mərhələ eyni etimadnaməni qəbul edir və eyni təyinat nöqtələrinə çatırsa, daxili qapı əlavə gecikmə ilə bəzəkdir. Bu ikinci qərarın əməliyyat xərcinə dəyib-dəymədiyini qərarlaşdırmaq hər qapının əslində nəyi yoxladığını adlandırmaqla başlayır.
Bir tunel, sonra ikinci qərar
Xarici qapı geniş bir suala cavab verir: bu, təsdiqlənmiş işçi cihazıdırmı və ümumi daxili şəbəkəyə çıxa bilərmi. Daxili qapı daha dar bir suala cavab verir: bu şəxsiyyət texniki xidmət hüququnu daşıyırmı və bu konkret idarəetmə son nöqtələrinə çıxa bilərmi. Bunlar fərqli sahibləri olan fərqli suallardır və biri digərini şərtləndirmir. Hər iki mərhələdən keçən yolun mövcudluğu ikincinin arxasında duranı istifadə etmək səlahiyyəti deyil. Uzaq girişə çatmaq marşrutun işlədiyini sübut edir, başqa heç nəyi deyil.
Prinsip köhnədir və hələ də gözardı edilir: şəbəkə məkanı özlüyündə heç bir şeyi əsaslandırmır. NIST sıfır etimad arxitekturası xülasəsi bunu açıq deyir və əlaqənin haradan gəldiyinə və ya şəbəkənin kimə aid olduğuna əsaslanan gizli etimadı rədd edir. Burada tətbiq edildikdə, daxili girişə çatmaq onun resursları üçün ilkin şərtdir, onlardan istifadə icazəsi heç vaxt deyil.
Hər qapının nəyi yoxladığını yazın
Hər mərhələ üçün yoxladığı şəxsiyyəti, icazə verdiyi təyinatları və onun keçilə biləcəyi şərtləri qeyd edin. Xarici qapı qanuni olaraq adi daxili xidmətlərə və daxili şlüzün dinləyicisinə icazə verə bilər, başqa heç nəyə yox. Daxili qapı rol iddiası tələb edə və yalnız dəyişiklik qeydində adları çəkilən idarəetmə ünvanlarına icazə verə bilər. Uzaq tərəfdəki tətbiq bu rolun hansı əməliyyatları yerinə yetirə biləcəyi barədə son sözü saxlayır, yəni zəncir tətbiq icazəsini əvəz etmədən bir qapı əlavə edir.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
İki buraxılış dizaynı səssizcə pozur. Əgər xarici domen artıq hər həssas təyinat nöqtəsinə birbaşa çatırsa, daxili qapı məcburi deyil, seçimlidir. Əgər açıq dinləyici və ya ikinci özəl marşrut eyni girişi təklif edirsə, nəzərdə tutulan yol bir neçə variantdan biridir. Hər qayda dəstinə sahib təyin edin və onların müqaviləsi təyinat xidmətlərini, icazə verilən mənbə şəxsiyyətlərini, özəl DNS-i, ünvan çevrilməsini və ötürmə uğursuz olduqda kimin cavab verdiyini adlandırsın. Xarici şəbəkədə etimad edilən ünvan heç vaxt daxili domenin icazəsini əvəz etməməlidir.
Uğur yollarını deyil, rədd hallarını sınayın
Hər iki qapıdan keçən uğurlu əlaqə çox az şey sübut edir, çünki bu, yerləşdirmə zamanı hamının sınadığı haldır. Maraqlı hallar bir mərhələnin keçib digərinin rədd etdiyi hallardır. Onlardan üçü riskin çoxunu əhatə edir və hər birinin mübahisə deyil, yoxlama ilə təsdiqlənə bilən gözlənilən nəticəsi var.
Ümumi giriş təsdiqlənib həssas rol yoxdursa, adi iş davam etməli, həssas təyinat isə rədd edilməlidir. Hər iki mərhələni təsdiqləyin və əlçatan dəst dəyişiklik qeydində göstərilən texniki xidmət son nöqtələri olmalıdır, daha geniş deyil. Hüquq sessiya ortasında ləğv edilirsə, razılaşdırılmış sessiya siyasəti əlaqəsiz ümumi girişi pozmadan qüvvəyə minməlidir. Bu ləğvin mövcud sessiyanı dərhal, yoxsa növbəti təkrar autentifikasiyada bitirdiyi müqavilədə artıq olmalı olan siyasət qərarıdır. Qəbul hallarını yazan şəxs insident zamanı onları şərh etməli olan şəxs deyil.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Əlavə etdiyiniz asılılıqları sayın
Hər əlavə mərhələ uğursuz ola bilən komponent və xarici tunelin içində düzgün yerləşməli marşrut əlavə edir. Qismən nasazlıq zamanı xarici yol qalır, daxili isə əlçatmaz olur, beləliklə istifadəçi heç cavab verməyən xidmətin yanında sağlam VPN ikonu görür.
Marşrutları və bloklama qaydalarını yalnız normal halda deyil, nasazlıq zamanı da yoxlayın. Xarici tunelin itələdiyi standart marşrut daxili şlüzün öz ünvanını tuta bilər ki, bu da ikinci mərhələni qurulan və sonra düşən əlaqəyə çevirir. Daxili tunel yox ikən nəyin bloklanmış qalmalı olduğunu qeyd edin, çünki onun ətrafında təsadüfi geri dönüş təmiz kəsilmədən pisdir. Hər iki atlamada eyni yoxlama formasını istifadə edin ki, hər biri fərz edilmək əvəzinə ölçülsün. İki qoşulmuş status göstəricisi nə yerləşməni, nə də təcridi təsbit edir.
İkinci qapının sizə ala bilmədikləri
İki qapının etimadnaməni, sertifikat orqanını və ya idarəetmə müstəvisini paylaşıb-paylaşmadığını soruşun. Paylaşdıqları yerdə ən mühüm nasazlıq rejimlərini də paylaşırlar və ikinci mərhələ görünən müstəqillikdən daha baha başa gəlir. Ayrı kriptoqrafik sessiyalar ayrı inzibati nəzarət yaratmır.
Daxili qapını yalnız ifadə edə və sınaya bildiyiniz tələbi, məsələn xarici domenin heç yoxlamadığı bir rolu tətbiq etdiyi müddətdə saxlayın. Yalnız eyni şəxsiyyəti eyni təyinat nöqtələrinə yenidən autentifikasiya etmək işi qalanda onu çıxarın. Hər halda tələbi, sahibi və nasazlıq davranışını birlikdə qeyd edin ki, növbəti baxış diaqramı deyil, tələbi müzakirə etsin.