Две VPN порти последователно: какво всъщност решава всяка
Два VPN етапа последователно трябва да означават две отделни решения за достъп. Назовете какво проверява всяка порта, после проверете какво отказва вътрешната.
Верижното свързване на два VPN обикновено се продава като допълнително шифроване, което е най-малко интересното, което прави. Истинският продукт е второ решение за оторизация, взето от друг собственик спрямо друг набор ресурси. Ако и двата етапа приемат едни и същи идентификационни данни и достигат до едни и същи дестинации, вътрешната порта е украшение с допълнително закъснение. Решението дали това второ решение си заслужава оперативните разходи започва с назоваване на това, което всяка порта всъщност проверява.
Един тунел, после второ решение
Външната порта отговаря на широк въпрос: това одобрено служебно устройство ли е и може ли да достига общата вътрешна мрежа. Вътрешната порта отговаря на по-тесен: носи ли тази самоличност правото за поддръжка и може ли да достига тези конкретни крайни точки за управление. Това са различни въпроси с различни собственици и нито един не предполага другия. Съществуването на път през двата етапа не е право да се използва това, което стои зад втория. Достигането до далечния вход доказва, че маршрутът работи, и нищо повече.
Принципът е стар и все още се пренебрегва: мрежовото местоположение само по себе си не доказва нищо. Резюмето на NIST за архитектура с нулево доверие го казва направо, отхвърляйки неявното доверие, което следва от това откъде идва връзката или кой притежава мрежата. Приложено тук, пристигането на вътрешния вход е предварително условие за неговите ресурси, но никога разрешение да се използват.
Запишете какво проверява всяка порта
За всеки етап запишете самоличността, която проверява, дестинациите, които разрешава, и условията, при които може да бъде пропуснат. Външната порта може законно да разрешава обичайните вътрешни услуги плюс слушателя на вътрешната порта и нищо друго. Вътрешната порта може да изисква претенция за роля и да разрешава само адресите за управление, посочени в записа за промяната. Приложението в далечния край запазва последната дума кои операции може да извършва тази роля, така че веригата добавя порта, без да заменя оторизацията на приложението.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Две пропускания тихо развалят дизайна. Ако външният домейн вече достига всяка чувствителна дестинация директно, вътрешната порта е по избор, а не задължителна. Ако публичен слушател или втори частен маршрут предлага същия достъп, предвиденият път е една опция сред няколко. Определете собственик и на всеки набор правила и нека договорът им назове услугите дестинации, разрешените изходни самоличности, частния DNS, транслацията на адреси и кой отговаря, когато предаването се провали. Адрес, на който се доверява във външната мрежа, никога не бива да замества оторизацията на вътрешния домейн.
Тествайте отказите, не щастливия път
Успешна връзка през двете порти доказва много малко, защото това е случаят, който всички са тествали при внедряването. Интересни са случаите, в които единият етап пропуска, а другият отказва. Три от тях покриват по-голямата част от риска и всеки има очакван резултат, който може да се провери, а не да се обсъжда.
При одобрен общ достъп и липсваща чувствителна роля обичайната работа трябва да продължи, докато чувствителната дестинация се отказва. Одобрете двата етапа и достижимият набор трябва да е крайните точки за поддръжка, посочени в записа за промяната, нищо по-широко. При отнемане на правото по средата на сесията договорената политика за сесията трябва да влезе в сила, без да разкъсва несвързания общ достъп. Дали това отнемане прекратява съществуваща сесия веднага или при следващото повторно удостоверяване, е решение за политика, което договорът вече трябва да съдържа. Който е писал критериите за приемане, не е човекът, който трябва да ги тълкува по време на инцидент.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Пребройте добавените зависимости
Всеки допълнителен етап добавя компонент, който може да се провали, и маршрут, който трябва правилно да се вложи във външния тунел. При частична повреда външният път остава, докато вътрешният е недостижим, така че потребителят вижда здрава икона на VPN до услуга, която никога не отговаря.
Проверете маршрутите и правилата за блокиране при повреда, а не само в нормалния случай. Маршрут по подразбиране, изпратен от външния тунел, може да прихване собствения адрес на вътрешната порта, което превръща втория етап във връзка, която се установява и после пада. Запишете какво трябва да остане блокирано, докато вътрешният тунел го няма, защото случайно оттегляне около него е по-лошо от чисто прекъсване. Използвайте същата форма на проверка на двата скока, за да бъде всеки измерен, а не предположен. Два индикатора за свързаност не доказват нито вложение, нито изолация.
Какво не може да ви купи втората порта
Попитайте дали двете порти споделят идентификационни данни, сертификатен орган или управленска равнина. Където го правят, те споделят и най-важните си режими на отказ, а вторият етап струва повече от независимостта, която уж добавя. Отделните криптографски сесии не създават отделни административни контроли.
Задръжте вътрешната порта, докато тя налага изискване, което можете да формулирате и тествате, например роля, която външният домейн никога не проверява. Махнете я, когато единствената ѝ работа е да удостоверява повторно същата самоличност към същите дестинации. Във всеки случай запишете изискването, собственика и поведението при отказ заедно, така че следващият преглед да спори за изискването, а не за диаграмата.