Always-on-VPN: Pfad, Berechtigung und Sitzung trennen

Einen Tunnel rund um die Uhr offen zu halten ist eine Entwurfsentscheidung mit einer vertretbaren und einer nachlässigen Variante. Eine Filiale, die den ganzen Tag eine zentrale Anwendung braucht, dazu ein nächtlicher Sicherungsjob, hat einen Grund. Ein Notebook, das drei Tage im Hotelzimmer verbunden bleibt, ist ein Unfall.

Beide zeigen dasselbe grüne Symbol und antworten gleich, wenn man fragt, wie lange der Tunnel steht. Diese Zahl ist nicht die interessante. Entscheidend ist, was die Verbindung verfügbar hält, für wen und was sie tatsächlich beendet.

Drei Uhren, die getrennt laufen

Der erste Zustand ist der Pfad. Ein Tunnel und seine Richtlinien machen eine Menge von Diensten erreichbar, und eine Verbindung ohne Verkehr kann für die nächste Anfrage bereitbleiben. Wie lange sie bereitbleibt, ist eine Implementierungsentscheidung, kein allgemeiner Timer.

Der zweite Zustand ist die Berechtigung. Eine akzeptierte Identität oder ein Gerät kann berechtigt sein, diesen Pfad zu nutzen. Diese Berechtigung sollte sich ändern, wenn sich eine Rolle ändert, ein Gerät verschwindet oder eine Kompromittierung vermutet wird, und sie ist unabhängig davon, ob Pakete fließen.

Der dritte Zustand ist die eigene Sitzung der Anwendung. Ein Datenbankclient, ein Remotedesktop oder eine Webanwendung authentifiziert sich getrennt und hält seinen eigenen Zustand. Den Tunnel zu schließen beendet nicht unbedingt eines davon.

Eine Prüfung, die diese drei als eine Frage behandelt, endet im Streit über Leerlauf-Timer. Jeder der drei kann für sich gesund oder defekt sein, und ein Befund bei einem sagt wenig über die anderen. Eine Checkliste mit drei Zeilen ist besser als eine Debatte über einen einzelnen Timeout-Wert. Schreiben Sie die Antwort für jeden Zustand getrennt.

Der Tunnel ist ein Pfad, kein Abzeichen

Ein aufgebauter Tunnel ist der Beleg, dass zwischen zwei Endpunkten ein geschützter Pfad existiert. Er ist kein Beleg dafür, dass jeder Prozess hinter einem Endpunkt jeden Dienst auf der anderen Seite erreichen muss.

Die Zero-Trust-Empfehlungen von NIST sagen dasselbe aus der anderen Richtung: Der Netzwerkstandort darf nicht als stillschweigendes Vertrauen gelten. Eine Standortverbindung ist eine Transporttatsache, und die Erlaubnis für einen Host, eine Anwendung zu nutzen, ist eine getrennte Entscheidung mit eigenem Verantwortlichen.

Ein kompromittierter Peer kann dennoch schädliche Handlungen über Dienste versuchen, die er erreichen darf. Filtering und Überwachung verringern einzelne Risiken, ohne die Folgen einer Endpunktkompromittierung zu beseitigen. Entwerfen Sie für den Pfad und autorisieren Sie für den Dienst.

Eine dauerhafte Standortverbindung begründen

Die belastbare Variante von Always-on benennt ihren Zweck genau. Welche Quellen, welche Ziele, welche Richtung und wem jeder Eintrag gehört. Eine Filial-Firewall, die jedem Host der Filiale jedes zentrale Subnetz erlaubt, hat keine Verbindung für einen benannten Zweck gehalten; sie hat sie für alles gehalten, was jemand später einfällt.

Wo ein Peer das geforderte Vertrauensniveau nicht erreichen kann, verengen Sie die Grenze oder ändern Sie die Regelung. Auf gelegentliches manuelles Trennen zu setzen ist eine Prozesskontrolle, und Prozesskontrollen sind am unzuverlässigsten, wenn ein Vorfall sie unbequem macht.

Bewahren Sie die Begründung bei der Konfiguration auf. Eine dauerhafte Ausnahme mit geschriebenem Zweck lässt sich prüfen und zurückziehen. Eine ohne Zweck wird standardmäßig dauerhaft.

Schlüsselwechsel ist kein Widerruf

Schlüssel nach Zeitplan zu ersetzen pflegt den Schutz-Lebenszyklus. Es erneuert Material und wahrt Vertraulichkeit. Es entzieht einem Endpunkt aber nicht seine Berechtigung.

Wenn der Endpunkt noch gültige Anmeldedaten und eine akzeptierende Zugriffsrichtlinie hat, stellt die nächste Aushandlung denselben erlaubten Pfad wieder her. Deshalb ist stündliche Schlüsselrotation keine Antwort auf ein verlorenes Gerät: Das verlorene Gerät rotiert mit, solange seine Identität noch vertraut wird. Prüfen Sie die Berechtigung vor dem Zeitplan. Rotation ist Hygiene, Widerruf ist eine Zugriffsentscheidung.

Widerruf ist ein anderer Mechanismus mit eigener Latenz: ein zurückgezogenes Zertifikat, ein deaktiviertes Konto, eine geänderte Gruppe, eine entfernte Netzregel. Jeder wirkt zu einem anderen Zeitpunkt und verhält sich für bereits bestehende Sitzungen anders.

Beenden, was bereits läuft

Fragen Sie, was die Implementierung mit bestehenden Sitzungen tut, wenn der Zugriff entfernt wird. Sie kann sie beenden, auf Ablauf warten oder dazwischen ein dokumentiertes Verhalten anwenden. Nehmen Sie nicht an, dass die Aufnahmeänderung von morgen die Anwendungsverbindung von heute schließt.

Für interaktiven Zugriff gehören Sitzungslimits und Inaktivitätsregeln in die Hände der Identitäts- und VPN-Verantwortlichen, nicht allein des Netzwerkteams. Für einen Standortdienst legen Sie das Verfahren fest, mit dem Wartung, Ausfall oder ein Sicherheitsvorfall den Zugriff abschaltet.

Testen Sie dann drei Ergebnisse: erlaubte Arbeit funktioniert weiter, ein unabhängiger Dienst wird verweigert, und das Entfernungsverfahren erzeugt das dokumentierte Ergebnis. Ein Always-on-Entwurf ist akzeptabel, wenn Zweck, Autorisierung und Abschaltfähigkeit alle schriftlich festgehalten und geübt sind. Sonst ist es eine Bequemlichkeit, die ihren Grund überlebt hat.