To VPN-gates i række: hvad hver af dem faktisk afgør

Kædning af to VPN'er sælges normalt som ekstra kryptering, hvilket er det mindst interessante, den gør. Det egentlige produkt er en anden autorisationsbeslutning, truffet af en anden ejer mod et andet sæt ressourcer. Hvis begge trin accepterer samme legitimationsoplysning og når de samme destinationer, er den indre gate dekoration med ekstra latenstid. At afgøre, om den anden beslutning er sin driftsomkostning værd, begynder med at navngive, hvad hver gate faktisk verificerer.

Én tunnel, derefter en anden beslutning

Den ydre gate besvarer et bredt spørgsmål: er dette en godkendt medarbejderenhed, og må den nå det generelle interne netværk. Den indre gate besvarer et snævrere: bærer denne identitet vedligeholdelsesrettigheden, og må den nå disse specifikke administrationsendepunkter. Det er forskellige spørgsmål med forskellige ejere, og ingen af dem forudsætter den anden. At en vej findes gennem begge trin er ikke bemyndigelse til at bruge det, der ligger bag den anden. At nå den fjerne indgang beviser, at en rute virker, og intet mere.

Princippet er gammelt og ignoreres stadig: netværksplacering taler ikke for noget i sig selv. NIST's resumé af nul-tillidsarkitektur siger det klart og afviser implicit tillid, der følger af, hvor en forbindelse kom fra, eller hvem der ejer netværket. Anvendt her er ankomst til den indre indgang en forudsætning for dens ressourcer, aldrig tilladelsen til at bruge dem.

Skriv ned, hvad hver gate verificerer

For hvert trin skal du registrere den identitet, det kontrollerer, de destinationer, det tillader, og de betingelser, hvorunder det kan springes over. Den ydre gate kan legitimt tillade almindelige interne tjenester plus den indre gates lytter og intet andet. Den indre gate kan kræve et rollekrav og kun tillade de administrationsadresser, der er nævnt i ændringsregistreringen. Applikationen i den fjerne ende beholder det sidste ord om, hvilke operationer den rolle må udføre, så kæden tilføjer en gate uden at erstatte applikationsautorisation.

To udeladelser bryder designet stille. Hvis det ydre domæne allerede når hver følsom destination direkte, er den indre gate valgfri snarere end obligatorisk. Hvis en offentlig lytter eller en anden privat rute tilbyder samme adgang, er den tilsigtede vej én mulighed blandt flere. Tildel også en ejer til hvert regelsæt, og lad deres kontrakt navngive destinationsdienester, tilladte kildeidentiteter, privat DNS, adresseoversættelse og hvem der svarer, når overdragelsen fejler. En adresse, der er betroet på det ydre netværk, må aldrig erstatte det indre domænes autorisation.

Test afvisningssagerne, ikke den glade vej

En vellykket forbindelse gennem begge gates beviser meget lidt, fordi det er den sag, alle testede under udrulningen. De interessante sager er dem, hvor det ene trin består, og det andet afviser. Tre af dem dækker det meste af risikoen, og hver har et forventet resultat, der kan kontrolleres snarere end diskuteres.

Med generel adgang godkendt og den følsomme rolle fraværende skal almindeligt arbejde fortsætte, mens den følsomme destination afvises. Godkend begge trin, og det nåbare sæt bør være de vedligeholdelsesendepunkter, der er nævnt i ændringsregistreringen, intet bredere. Med rettigheden tilbagekaldt midt i en session skal den aftalte sessionspolitik træde i kraft uden at rive ikke-relateret generel adgang ned. Om denne tilbagekaldelse afslutter en eksisterende session straks eller ved næste reautentificering, er en politisk beslutning, som kontrakten allerede bør indeholde. Den, der skrev accepttestsagerne, er ikke den person, der bør fortolke dem under en hændelse.

curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"

Tæl de afhængigheder, du tilføjede

Hvert ekstra trin tilføjer en komponent, der kan fejle, og en rute, der korrekt skal indlejres i den ydre tunnel. Under en delvis fejl forbliver den ydre vej oppe, mens den indre er utilgængelig, så brugeren ser et sundt VPN-ikon ved siden af en tjeneste, der aldrig svarer.

Kontroller ruterne og blokeringsreglerne under fejl i stedet for kun i det normale tilfælde. En standardrute, der skubbes af den ydre tunnel, kan opfange den indre gates egen adresse, hvilket gør det andet trin til en forbindelse, der etableres og derefter falder. Registrer, hvad der skal forblive blokeret, mens den indre tunnel er væk, fordi et utilsigtet fald tilbage omkring den er værre end en ren afbrydelse. Brug samme sondform på begge hop, så hvert enkelt måles i stedet for antages. To tilsluttede statusindikatorer etablerer hverken indlejring eller isolering.

Hvad den anden gate ikke kan købe for dig

Spørg, om de to gates deler en legitimationsoplysning, en certifikatmyndighed eller et administrationsplan. Hvor de gør, deler de også deres vigtigste fejltilstande, og det andet trin koster mere end den uafhængighed, det tilsyneladende tilføjer. Separate kryptografiske sessioner skaber ikke separate administrative kontroller.

Behold den indre gate, mens den håndhæver et krav, du kan angive og teste, såsom en rolle, som det ydre domæne aldrig kontrollerer. Drop den, når dens eneste opgave er at reautentificere den samme identitet mod de samme destinationer. Under alle omstændigheder skal du registrere kravet, ejeren og fejlopførslen sammen, så den næste gennemgang diskuterer kravet i stedet for diagrammet.