Dues portes VPN en sèrie: què decideix realment cadascuna

Encadenar dos VPN normalment es ven com a xifratge addicional, que és la cosa menys interessant que fa. El producte real és una segona decisió d'autorització, presa per un propietari diferent sobre un conjunt de recursos diferent. Si les dues etapes accepten la mateixa credencial i arriben a les mateixes destinacions, la porta interior és decoració amb latència extra. Decidir si aquesta segona decisió val el seu cost operatiu comença per anomenar què verifica realment cada porta.

Un túnel, després una segona decisió

La porta exterior respon una pregunta àmplia: és aquest un dispositiu d'empleat aprovat i pot arribar a la xarxa interna general. La porta interior respon una de més estreta: porta aquesta identitat el dret de manteniment i pot arribar a aquests punts finals de gestió concrets. Són preguntes diferents amb propietaris diferents, i cap no implica l'altra. Que existeixi un camí per les dues etapes no és autoritat per usar el que hi ha darrere de la segona. Arribar a l'entrada llunyana demostra que una ruta funciona, i res més.

El principi és vell i encara s'ignora: la ubicació de xarxa no argumenta res per si mateixa. Resum de l'arquitectura de confiança zero del NIST ho diu clarament, rebutjant la confiança implícita que es deriva d'on ve una connexió o de qui posseeix la xarxa. Aplicat aquí, arribar a l'entrada interior és una condició prèvia per als seus recursos, mai el permís per usar-los.

Anoteu què verifica cada porta

Per a cada etapa, registreu la identitat que comprova, les destinacions que permet i les condicions en què es pot ometre. La porta exterior pot permetre legítimament serveis interns ordinaris més l'oient de la porta interior, i res més. La porta interior pot exigir una afirmació de rol i permetre només les adreces de gestió nomenades al registre de canvis. L'aplicació de l'extrem llunyà conserva l'última paraula sobre quines operacions pot fer aquest rol, així que la cadena afegeix una porta sense substituir l'autorització de l'aplicació.

Dues omissions trenquen el disseny en silenci. Si el domini exterior ja arriba directament a cada destinació sensible, la porta interior és opcional i no obligatòria. Si un oient públic o una segona ruta privada ofereix el mateix accés, el camí previst és una opció entre diverses. Assigneu també un propietari a cada conjunt de regles i feu que el seu contracte anomeni els serveis de destinació, les identitats d'origen permeses, el DNS privat, la traducció d'adreces i qui respon quan la transferència falla. Una adreça de confiança a la xarxa exterior no ha de substituir mai l'autorització del domini interior.

Proveu els casos de denegació, no el camí feliç

Una connexió correcta per les dues portes demostra molt poc, perquè aquest és el cas que tothom va provar durant el desplegament. Els casos interessants són aquells en què una etapa passa i l'altra refusa. Tres d'ells cobreixen la major part del risc, i cadascun té un resultat esperat que es pot comprovar en lloc de discutir.

Amb l'accés general aprovat i el rol sensible absent, la feina ordinària ha de continuar mentre es denega la destinació sensible. Aproveu les dues etapes i el conjunt abastable ha de ser els punts finals de manteniment nomenats al registre de canvis, res més ampli. Amb el dret revocat a mig curs d'una sessió, la política de sessió acordada ha d'entrar en vigor sense trencar l'accés general no relacionat. Si aquesta revocació acaba una sessió existent de seguida o a la propera reautenticació és una decisió de política que el contracte ja hauria de contenir. Qui va escriure els casos d'acceptació no és la persona que els hauria d'interpretar durant un incident.

curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"

Compteu les dependències que heu afegit

Cada etapa extra afegeix un component que pot fallar i una ruta que s'ha d'encastar correctament dins del túnel exterior. Durant una fallada parcial, el camí exterior es manté mentre l'interior és inabastable, així que l'usuari veu una icona de VPN sana al costat d'un servei que mai respon.

Comproveu les rutes i les regles de bloqueig en cas de fallada, no només en el cas normal. Una ruta per defecte empenyuda pel túnel exterior pot capturar l'adreça del propi portal interior, cosa que converteix la segona etapa en una connexió que s'estableix i després cau. Registreu què ha de romandre bloquejat mentre el túnel interior no hi és, perquè una reculada accidental al seu voltant és pitjor que una interrupció neta. Feu servir la mateixa forma de sonda als dos salts, perquè cadascun es mesuri en lloc de suposar-se. Dos indicadors de connectat no estableixen ni encaix ni aïllament.

Què no us pot comprar la segona porta

Pregunteu si les dues portes comparteixen una credencial, una autoritat de certificació o un pla de gestió. On ho fan, també comparteixen els seus modes de fallada més importants, i la segona etapa costa més que la independència que sembla afegir. Sessions criptogràfiques separades no creen controls administratius separats.

Manteniu la porta interior mentre imposi un requisit que pugueu enunciar i provar, com un rol que el domini exterior mai comprova. Traieu-la quan la seva única feina sigui reautenticar la mateixa identitat contra les mateixes destinacions. De qualsevol manera, registreu el requisit, el propietari i el comportament en cas de fallada junts, perquè la propera revisió discuteixi el requisit i no el diagrama.