Always-on VPN: път, разрешение и сесия поотделно

Държането на тунел отворен денонощно е проектно решение с разумна версия и с небрежна версия. Клон, който цял ден има нужда от централно приложение, плюс нощна задача за архивиране, има причина. Лаптоп, оставен свързан три дни в хотелска стая, е инцидент.

И двете показват една и съща зелена икона и отговарят еднакво, ако попитате колко дълго тунелът е отворен. Това число не е интересното. Важно е какво връзката държи достъпно, за кого и какво действително я прекратява.

Три часовника, които вървят поотделно

Първото състояние е пътят. Тунелът и политиките му правят набор услуги достъпни, а връзка без трафик може да остане готова за следващата заявка. Колко дълго остава готова е решение на реализацията, не универсален таймер.

Второто състояние е разрешението. Приета самоличност или устройство може да бъде оторизирано да използва този път. Това оторизиране трябва да се променя при смяна на роля, изчезнало устройство или съмнение за компрометиране и не зависи от това дали пакетите текат.

Третото състояние е собствената сесия на приложението. Клиент на база данни, отдалечен работен плот или уеб приложение се удостоверява отделно и пази собствено състояние. Затварянето на тунела не прекратява непременно никое от тях.

Преглед, който третира тези три като един въпрос, завършва със спор за таймери на бездействие. Всяко от трите може да е здраво или счупено само по себе си и находка в едното казва малко за другите. Контролен списък с три реда е по-добър от спор за една стойност на изчакване. Напишете отговора за всяко състояние отделно.

Тунелът е път, не значка

Установеният тунел е доказателство, че между две крайни точки има защитен път. Той не е доказателство, че всеки процес зад която и да е крайна точка трябва да достига всяка услуга от другата страна.

Насоките на NIST за нулево доверие казват същото от другата посока: мястото в мрежата не бива да се приема като подразбиращо се доверие. Връзката на обект е факт за транспорта, а разрешението един хост да използва едно приложение е отделно решение със свой собственик.

Компрометиран партньор може да опитва вредни действия през услуги, до които има достъп. Филтрирането и наблюдението намаляват конкретни рискове, без да заличават последиците от компрометиране на крайна точка. Проектирайте за пътя и разрешавайте за услугата.

Обосновка на постоянна връзка на обект

Защитимата версия на постоянния режим назовава целта си точно. Кои източници, кои дестинации, коя посока и кой притежава всеки запис. Защитна стена на клон, която разрешава на всеки хост в клона достъп до всяка централна подмрежа, не е запазила връзка за названа цел; запазила я е за всичко, което някой измисли по-късно.

Където партньор не може да достигне нужното ниво на доверие, стеснете границата или сменете подредбата. Разчитането на рядко ръчно прекъсване е процесен контрол, а процесните контроли са най-ненадеждни точно когато инцидент ги направи неудобни.

Пазете обосновката заедно с конфигурацията. Постоянно изключение с написана цел може да се прегледа и оттегли. Такова без цел става постоянно по подразбиране.

Смяната на ключове не е отнемане

Подмяната на ключове по график поддържа жизнения цикъл на защитата. Тя обновява материала и пази поверителността. Но не отнема правото на крайната точка.

Ако крайната точка все още държи валидни удостоверения и политика за достъп, която я приема, следващото договаряне възстановява същия разрешен път. Затова часовото завъртане на ключове не е отговор за изгубено устройство: изгубеното устройство също се завърта, докато самоличността му е още доверена. Проверете правото преди графика. Завъртането е хигиена, отнемането е решение за достъп.

Отнемането е друг механизъм със собствено закъснение: отнет сертификат, изключен профил, сменена група, премахнато мрежово правило. Всяко действа в различен момент и се държи различно за вече установени сесии.

Прекратяване на вече работещото

Попитайте какво прави реализацията с установените сесии, когато достъпът се премахне. Тя може да ги прекрати, да чака изтичане или да приложи описано поведение между тях. Не предполагайте, че утрешното изменение на допускане затваря днешната връзка на приложението.

За интерактивен достъп дайте ограниченията на сесиите и правилата за бездействие на собствениците на самоличността и VPN, а не само на мрежовия екип. За услуга на обект определете процедурата, която поддръжка, прекъсване или инцидент по сигурността използва, за да спре достъпа.

После проверете три изхода: разрешената работа още работи, несвързана услуга се отказва, а процедурата по премахване дава описания резултат. Проект за постоянен режим е приемлив, когато целта, оторизацията и способността за спиране са записани и упражнени. Иначе е удобство, което е надживяло причината си.