Dwy borth VPN yn olynol: beth mae pob un yn ei benderfynu mewn gwirionedd
Dylai dwy gam VPN yn olynol olygu dau benderfyniad caniatâd ar wahân. Enwch beth mae pob porth yn ei wirio, yna profwch beth mae'r un fewnol yn ei wrthod.
Mae cadwyno dau VPN fel arfer yn cael ei werthu fel amgryptio ychwanegol, sef y peth lleiaf diddorol y mae'n ei wneud. Y cynnyrch go iawn yw ail benderfyniad awdurdodi, a wneir gan berchennog gwahanol yn erbyn set wahanol o adnoddau. Os yw'r ddau gam yn derbyn yr un credens ac yn cyrraedd yr un cyrchfannau, mae'r borth fewnol yn addurn gyda hwyrni ychwanegol. Mae penderfynu a yw'r ail benderfyniad hwnnw'n werth ei gost weithredol yn dechrau drwy enwi'r hyn y mae pob porth yn ei wirio mewn gwirionedd.
Un twnnel, yna ail benderfyniad
Mae'r borth allanol yn ateb cwestiwn eang: a yw hwn yn ddyfais gyflogai a gymeradwywyd, ac a all gyrraedd y rhwydwaith mewnol cyffredinol. Mae'r borth fewnol yn ateb un gulach: a yw'r hunaniaeth hon yn cario'r hawl cynnal a chadw, ac a all gyrraedd y pen terfynau rheoli penodol hyn. Cwestiynau gwahanol yw'r rhain gyda pherchnogion gwahanol, ac nid yw'r naill yn awgrymu'r llall. Nid yw llwybr yn bodoli drwy'r ddau gam yn awdurdod i ddefnyddio'r hyn sydd y tu ôl i'r ail. Mae cyrraedd y fynedfa bell yn profi bod llwybr yn gweithio, a dim mwy.
Mae'r egwyddor yn hen ac yn dal i gael ei hanwybyddu: nid yw lleoliad rhwydwaith yn dadlau dros unrhyw beth ynddo'i hun. Crynodeb pensaernïaeth dim-ymddiriedaeth NIST yn ei ddweud yn blwmp ac yn blaen, gan wrthod ymddiriedaeth ymhlyg sy'n deillio o ble y daeth cysylltiad neu pwy sy'n berchen ar y rhwydwaith. Wedi'i gymhwyso yma, mae cyrraedd y fynedfa fewnol yn rag-amod ar gyfer ei hadnoddau, byth yn ganiatâd i'w defnyddio.
Ysgrifennwch beth mae pob porth yn ei wirio
Ar gyfer pob cam, cofnodwch yr hunaniaeth y mae'n ei gwirio, y cyrchfannau y mae'n eu caniatáu, a'r amodau y gellir ei hepgor odanynt. Gall y borth allanol ganiatáu'n gyfreithlon wasanaethau mewnol cyffredin ynghyd â gwrandäwr y borth fewnol, a dim byd arall. Gall y borth fewnol fod yn gofyn am hawliad rôl a chaniatáu dim ond y cyfeiriadau rheoli a enwir yn y cofnod newid. Mae'r cymhwysiad yn y pen pellaf yn cadw'r gair olaf dros ba weithrediadau y caiff y rôl honno eu cyflawni, felly mae'r gadwyn yn ychwanegu porth heb ddisodli awdurdodiad y cymhwysiad.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Mae dau hepgoriad yn torri'r dyluniad yn dawel. Os yw'r parth allanol eisoes yn cyrraedd pob cyrchfan sensitif yn uniongyrchol, mae'r borth fewnol yn ddewisol yn hytrach na gorfodol. Os yw gwrandäwr cyhoeddus neu ail lwybr preifat yn cynnig yr un mynediad, mae'r llwybr arfaethedig yn un opsiwn ymhlith sawl un. Neilltuwch berchennog i bob set rheol hefyd, a gwnaethpwyd eu contract yn enwi gwasanaethau cyrchfan, hunaniaethau ffynhonnell a ganiateir, DNS preifat, cyfieithu cyfeiriadau a phwy sy'n ateb pan fydd y trosglwyddiad yn methu. Ni ddylai cyfeiriad a ymddiriedir ar y rhwydwaith allanol byth sefyll yn lle awdurdodiad y parth mewnol.
Profwch achosion gwadu, nid y llwybr hapus
Mae cysylltiad llwyddiannus drwy'r ddwy borth yn profi ychydig iawn, oherwydd dyna'r achos y profodd pawb yn ystod y cyflwyno. Yr achosion diddorol yw'r rhai lle mae un cam yn pasio a'r llall yn gwrthod. Mae tri ohonynt yn cwmpasu'r rhan fwyaf o'r risg, ac mae gan bob un ganlyniad disgwyliedig y gellir ei wirio yn hytrach na dadlau yn ei gylch.
Gyda mynediad cyffredinol wedi'i gymeradwyo a'r rôl sensitif yn absennol, rhaid i waith cyffredin barhau tra bod y cyrchfan sensitif yn cael ei wadu. Cymeradwywch y ddau gam a dylai'r set gyraeddadwy fod y pen terfynau cynnal a chadw a enwir yn y cofnod newid, dim lletach. Gyda'r hawl wedi'i dadymchwelyd yng nghanol sesiwn, rhaid i'r polisi sesiwn y cytunwyd arno ddod i rym heb rwygo mynediad cyffredinol annibynnol. Penderfyniad polisi y dylai'r contract ei gynnwys eisoes yw a yw'r dadymchweliad hwnnw'n diweddu sesiwn bresennol ar unwaith neu ar yr ail-uwchraddio nesaf. Nid y sawl a ysgrifennodd yr achosion derbyn yw'r un a ddylai eu dehongli yn ystod digwyddiad.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Cyfrwch y dibyniaethau a ychwanegoch
Mae pob cam ychwanegol yn ychwanegu cydran a all fethu a llwybr y mae'n rhaid iddo nythu'n gywir y tu mewn i'r twnnel allanol. Yn ystod methiant rhannol mae'r llwybr allanol yn aros i fyny tra bod yr un mewnol yn anghyrraeddadwy, felly mae'r defnyddiwr yn gweld eicon VPN iach wrth ymyl gwasanaeth nad yw byth yn ateb.
Gwiriwch y llwybrau a'r rheolau rhwystro o dan fethiant yn hytrach nag yn yr achos arferol yn unig. Gall llwybr diofyn a wthir gan y twnnel allanol ddal cyfeiriad y borth fewnol ei hun, sy'n troi'r ail gam yn gysylltiad sy'n sefydlu ac yna'n disgyn. Cofnodwch beth yw'r bwriad i aros wedi'i rwystro tra bod y twnnel mewnol yn absennol, oherwydd mae cwymp damweiniol o'i amgylch yn waeth nag ymyrraeth lân. Defnyddiwch yr un siâp prawf ar y ddau naid, fel bod pob un yn cael ei fesur yn hytrach na'i dybio. Nid yw dau ddangosydd cysylltiedig yn sefydlu nac nythu nac ynysu.
Beth na all yr ail borth ei brynu i chi
Gofynnwch a yw'r ddwy borth yn rhannu credens, awdurdod ardystio neu awyren reoli. Lle maent yn gwneud, maent hefyd yn rhannu eu dulliau methiant pwysicaf, ac mae'r ail gam yn costio mwy na'r annibyniaeth y mae'n ymddangos ei hychwanegu. Nid yw sesiynau cryptograffig ar wahân yn creu rheolaethau gweinyddol ar wahân.
Cadwch y borth fewnol tra bo'n gorfodi gofyniad y gallwch ei nodi a'i brofi, fel rôl nad yw'r parth allanol byth yn ei gwirio. Gollyngwch hi pan mai ei hunig waith yw ail-awdurdodi'r un hunaniaeth yn erbyn yr un cyrchfannau. Naill ffordd neu'r llall, cofnodwch y gofyniad, y perchennog a'r ymddygiad methiant gyda'i gilydd, fel bod yr adolygiad nesaf yn dadlau am y gofyniad yn hytrach nag am y diagram.