Дзве брамы VPN запар: што насамрэч вырашае кожная
Дзве ступені VPN запар павінны азначаць два асобныя рашэнні аб доступе. Назавіце, што правярае кожная брама, затым праверце, што адмаўляе ўнутраная.
Злучэнне двух VPN у ланцуг звычайна прадаюць як дадатковае шыфраванне, хоць гэта найменш цікавае, што яно робіць. Сапраўдны прадукт — другое рашэнне аб аўтарызацыі, прынятае іншым уласнікам адносна іншага набору рэсурсаў. Калі абедзве ступені прымаюць адны і тыя ж уліковыя даныя і дасягаюць адных і тых жа прызначэнняў, унутраная брама — упрыгожанне з дадатковай затрымкай. Рашэнне, ці варта гэтае другое рашэнне сваіх эксплуатацыйных выдаткаў, пачынаецца з наймення таго, што кожная брама насамрэч правярае.
Адзін тунель, потым другое рашэнне
Знешняя брама адказвае на шырокае пытанне: ці гэта дазволеная прылада супрацоўніка і ці можа яна дасягаць агульнай унутранай сеткі. Унутраная брама адказвае на больш вузкае: ці мае гэтая асоба права на абслугоўванне і ці можа яна дасягаць гэтых пэўных канцавых пунктаў кіравання. Гэта розныя пытанні з рознымі ўласнікамі, і ні адно не вынікае з другога. Існаванне шляху праз абедзве ступені не дае права карыстацца тым, што знаходзіцца за другой. Дасягненне далёкага ўвахода даказвае, што маршрут працуе, і нічога болей.
Прынцып стары і ўсё яшчэ ігнаруецца: сеткавае месцазнаходжанне само па сабе нічога не даказвае. Агляд архітэктуры нулявога даверу ад NIST выкладае гэта проста, адхіляючы няяўны давер, які вынікае з таго, адкуль прыйшло злучэнне або каму належыць сетка. Ужыты тут, прыход да ўнутранага ўвахода — папярэдняя ўмова для яго рэсурсаў, але ніколі не дазвол імі карыстацца.
Запішыце, што правярае кожная брама
Для кожнай ступені запішыце асобу, якую яна правярае, прызначэнні, якія яна дазваляе, і ўмовы, пры якіх яе можна прапусціць. Знешняя брама можа законна дазваляць звычайныя ўнутраныя службы плюс слухач унутранай брамы, і нічога больш. Унутраная брама можа патрабаваць прэтэнзію на ролю і дазваляць толькі адрасы кіравання, названыя ў запісе аб змене. Прыкладанне на далёкім канцы пакідае за сабой апошняе слова пра тое, якія аперацыі можа выконваць гэтая роля, таму ланцуг дадае браму, не замяняючы аўтарызацыю прыкладання.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Дзве ўпушчэнні ціха ламаюць праект. Калі знешні дамен ужо дасягае кожнага адчувальнага прызначэння наўпрост, унутраная брама — не абавязковая, а факультатыўная. Калі публічны слухач або другі прыватны маршрут прапануе такі ж доступ, меркаваны шлях — адзін з некалькіх варыянтаў. Прызначце ўласніка кожнаму набору правілаў і зрабіце так, каб іх кантракт называў службы прызначэння, дазволеныя асобы-крыніцы, прыватны DNS, трансляцыю адрасоў і таго, хто адказвае, калі перадача не ўдалася. Адрас, якому давяраюць у знешняй сетцы, ніколі не павінен замяняць аўтарызацыю ўнутранага дамена.
Праверце выпадкі адмовы, а не шчаслівы шлях
Паспяховае злучэнне праз абедзве брамы даказвае вельмі мала, бо гэта той выпадак, які ўсе правяралі падчас разгортвання. Цікавыя выпадкі — тыя, дзе адна ступень прапускае, а другая адмаўляе. Тры з іх пакрываюць большую частку рызыкі, і кожны мае чаканы вынік, які можна праверыць, а не абмеркаваць.
Калі агульны доступ зацверджаны, а адчувальнай ролі няма, звычайная праца павінна працягвацца, пакуль адчувальнае прызначэнне адхіляецца. Зацвердзіце абедзве ступені — дасягальны набор павінен быць канцавымі пунктамі абслугоўвання, названымі ў запісе аб змене, не шырэй. Калі права адклікана пасярэдзіне сеанса, узгодненая палітыка сеанса павінна ўступіць у сілу, не разрываючы незвязаны агульны доступ. Ці гэтае адкліканне скончыць існуючы сеанс адразу, ці пры наступнай паўторнай аўтэнтыфікацыі — гэта рашэнне палітыкі, якое кантракт ужо павінен змяшчаць. Хто напісаў крытэрыі прыёмкі, не той чалавек, які павінен іх тлумачыць падчас інцыдэнту.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Палічыце дададзеныя залежнасці
Кожная дадатковая ступень дадае кампанент, які можа выйсці з ладу, і маршрут, які павінен правільна ўкласціся ў знешні тунель. Падчас частковага збою знешні шлях застаецца, а ўнутраны недасягальны, таму карыстальнік бачыць здаровы значок VPN побач з паслугай, якая ніколі не адказвае.
Праверце маршруты і правілы блакавання пры збоі, а не толькі ў звычайным выпадку. Маршрут па змаўчанні, прасунуты знешнім тунелем, можа перахапіць уласны адрас унутранай брамы, што ператварае другую ступень у злучэнне, якое ўсталёўваецца і потым падае. Запішыце, што павінна заставацца заблакаваным, пакуль унутраны тунель адсутнічае, бо выпадковы адкат вакол яго горш за чыстае перапыненне. Выкарыстоўвайце адну і тую ж форму праверкі на абодвух скоках, каб кожны вымяраўся, а не меркаваўся. Два індыкатары стану «падключана» не ўсталёўваюць ні ўкладання, ні ізаляцыі.
Што другая брама не можа вам купіць
Спытайце, ці дзеляць дзве брамы ўліковыя даныя, цэнтр сертыфікацыі або плоскасць кіравання. Там, дзе дзеляць, яны таксама дзеляць свае найважнейшыя рэжымы збою, і другая ступень каштуе больш, чым незалежнасць, якую яна нібыта дадае. Асобныя крыптаграфічныя сеансы не ствараюць асобных адміністрацыйных кантроляў.
Трымайце ўнутраную браму, пакуль яна выконвае патрабаванне, якое вы можаце сфармуляваць і праверыць, напрыклад ролю, якую знешні дамен ніколі не правярае. Прыбярыце яе, калі яе адзіная праца — паўторна аўтэнтыфікаваць тую ж асобу на тых жа прызначэннях. У любым выпадку запішыце патрабаванне, уласніка і паводзіны пры збоі разам, каб наступны агляд спрачаўся пра патрабаванне, а не пра схему.