Dvě VPN brány za sebou: co každá skutečně rozhoduje
Dvě fáze VPN za sebou by měly znamenat dvě samostatná rozhodnutí o oprávnění. Pojmenujte, co každá brána kontroluje, a pak otestujte, co vnitřní brána odmítá.
Řetězení dvou VPN se obvykle prodává jako dodatečné šifrování, což je to nejméně zajímavé, co dělá. Skutečným produktem je druhé rozhodnutí o autorizaci, které činí jiný vlastník vůči jiné sadě zdrojů. Pokud obě fáze přijímají stejný údaj a dosahují stejných cílů, je vnitřní brána dekorace s dodatečnou latencí. Rozhodnutí, zda to druhé rozhodnutí stojí za své provozní náklady, začíná pojmenováním toho, co každá brána skutečně ověřuje.
Jeden tunel, pak druhé rozhodnutí
Vnější brána odpovídá na širokou otázku: je toto schválené zařízení zaměstnance a smí dosáhnout obecné interní sítě. Vnitřní brána odpovídá na užší: nese tato identita oprávnění k údržbě a smí dosáhnout těchto konkrétních koncových bodů správy. To jsou různé otázky s různými vlastníky a ani jedna neimplikuje druhou. Existence cesty oběma fázemi není oprávněním používat to, co stojí za druhou. Dosáhnout vzdáleného vchodu dokazuje, že trasa funguje, a nic víc.
Princip je starý a stále ignorovaný: síťová poloha sama o sobě nic nezdůvodňuje. Shrnutí architektury nulové důvěry NIST to říká jasně a odmítá implicitní důvěru, která plyne z toho, odkud spojení přichází nebo komu síť patří. Aplikováno zde, dosažení vnitřního vchodu je předpokladem pro jeho zdroje, nikdy oprávněním je používat.
Zapište, co každá brána ověřuje
Pro každou fázi zaznamenejte identitu, kterou kontroluje, cíle, které povoluje, a podmínky, za nichž ji lze přeskočit. Vnější brána může legitimně povolit běžné interní služby plus listener vnitřní brány, a nic jiného. Vnitřní brána může vyžadovat nárok na roli a povolit pouze adresy správy uvedené v záznamu o změně. Aplikace na vzdáleném konci si ponechává poslední slovo o tom, které operace smí tato role provádět, takže řetěz přidává bránu, aniž by nahradil autorizaci aplikace.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dvě opomenutí tiše rozbíjejí návrh. Pokud vnější doména již přímo dosahuje každého citlivého cíle, je vnitřní brána volitelná, nikoli povinná. Pokud veřejný listener nebo druhá privátní trasa nabízí stejný přístup, je zamýšlená cesta jednou z několika možností. Přiřaďte vlastníka také každé sadě pravidel a nechte jejich smlouvu pojmenovat cílové služby, povolené zdrojové identity, privátní DNS, překlad adres a kdo odpovídá, když předání selže. Adresa důvěryhodná ve vnější síti nesmí nikdy zastoupit autorizaci vnitřní domény.
Testujte případy odmítnutí, ne šťastnou cestu
Úspěšné spojení oběma branami dokazuje velmi málo, protože to je případ, který všichni testovali při zavádění. Zajímavé jsou případy, kdy jedna fáze projde a druhá odmítne. Tři z nich pokrývají většinu rizika a každý má očekávaný výsledek, který lze ověřit, nikoli o něm diskutovat.
Se schváleným obecným přístupem a chybějící citlivou rolí musí běžná práce pokračovat, zatímco citlivý cíl je odmítnut. Schvalte obě fáze a dosažitelná množina má být koncové body údržby uvedené v záznamu o změně, nic širšího. Při odvolání oprávnění uprostřed relace musí dohodnutá politika relace vstoupit v platnost, aniž by rozbila nesouvisející obecný přístup. Zda toto odvolání ukončí existující relaci hned, nebo při příští reautentizaci, je rozhodnutí o politice, které by smlouva už měla obsahovat. Kdo napsal akceptační případy, není ten, kdo je má vykládat během incidentu.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Spočítejte závislosti, které jste přidali
Každá další fáze přidává komponentu, která může selhat, a trasu, která se musí správně vnořit do vnějšího tunelu. Při částečném selhání vnější cesta zůstává, zatímco vnitřní je nedostupná, takže uživatel vidí zdravou ikonu VPN vedle služby, která nikdy neodpovídá.
Zkontrolujte trasy a pravidla blokování při selhání, nejen v normálním případě. Výchozí trasa prosazená vnějším tunelem může zachytit vlastní adresu vnitřní brány, což promění druhou fázi ve spojení, které se naváže a pak spadne. Zaznamenejte, co má zůstat zablokované, dokud vnitřní tunel chybí, protože náhodný obchvat kolem něj je horší než čistý výpadek. Použijte stejný tvar sondy na obou skocích, aby byl každý měřen, nikoli předpokládán. Dva indikátory připojení neprokazují ani vnoření, ani izolaci.
Co vám druhá brána nemůže koupit
Zeptejte se, zda obě brány sdílejí údaj, certifikační autoritu nebo rovinu správy. Kde sdílejí, sdílejí i své nejdůležitější režimy selhání, a druhá fáze stojí víc než nezávislost, kterou zdánlivě přidává. Oddělené kryptografické relace nevytvářejí oddělené administrativní kontroly.
Ponechte vnitřní bránu, dokud vynucuje požadavek, který můžete vyslovit a otestovat, například roli, kterou vnější doména nikdy nekontroluje. Odstraňte ji, když je jejím jediným úkolem znovu autentizovat stejnou identitu vůči stejným cílům. V obou případech zaznamenejte požadavek, vlastníka a chování při selhání společně, aby se příští revize přela o požadavek, ne o diagram.