Zwei VPN-Tore in Reihe: Was jedes davon tatsächlich entscheidet
Zwei VPN-Stufen in Reihe sollten zwei getrennte Berechtigungsentscheidungen bedeuten. Benennen Sie, was jedes Tor prüft, und testen Sie dann, was das innere verweigert.
Die Verkettung zweier VPNs wird üblicherweise als zusätzliche Verschlüsselung verkauft, was das am wenigsten interessante ist, was sie leistet. Das eigentliche Produkt ist eine zweite Autorisierungsentscheidung, getroffen von einem anderen Eigentümer gegenüber einer anderen Ressourcenmenge. Wenn beide Stufen dieselbe Anmeldeinformation akzeptieren und dieselben Ziele erreichen, ist das innere Tor Dekoration mit zusätzlicher Latenz. Die Entscheidung, ob diese zweite Entscheidung ihre Betriebskosten wert ist, beginnt damit, zu benennen, was jedes Tor tatsächlich prüft.
Ein Tunnel, dann eine zweite Entscheidung
Das äußere Tor beantwortet eine breite Frage: Ist dies ein genehmigtes Mitarbeitergerät, und darf es das allgemeine interne Netz erreichen. Das innere Tor beantwortet eine engere: Trägt diese Identität die Wartungsberechtigung, und darf sie diese bestimmten Verwaltungsendpunkte erreichen. Das sind verschiedene Fragen mit verschiedenen Eigentümern, und keine setzt die andere voraus. Ein Pfad durch beide Stufen ist keine Befugnis, das zu nutzen, was hinter der zweiten liegt. Den fernen Eingang zu erreichen beweist, dass eine Route funktioniert, und nichts weiter.
Das Prinzip ist alt und wird immer noch ignoriert: Der Netzwerkstandort spricht für sich genommen für nichts. NIST-Zusammenfassung der Zero-Trust-Architektur sagt es deutlich und lehnt implizites Vertrauen ab, das daraus folgt, woher eine Verbindung kommt oder wem das Netz gehört. Hier angewandt ist das Ankommen am inneren Eingang eine Voraussetzung für seine Ressourcen, niemals die Erlaubnis, sie zu nutzen.
Schreiben Sie auf, was jedes Tor prüft
Halten Sie für jede Stufe die Identität fest, die sie prüft, die Ziele, die sie zulässt, und die Bedingungen, unter denen sie übersprungen werden kann. Das äußere Tor darf legitimerweise gewöhnliche interne Dienste plus den Listener des inneren Tors zulassen, und nichts anderes. Das innere Tor kann einen Rollenanspruch verlangen und nur die im Änderungsdatensatz genannten Verwaltungsadressen zulassen. Die Anwendung am fernen Ende behält das letzte Wort darüber, welche Operationen diese Rolle ausführen darf, sodass die Kette ein Tor hinzufügt, ohne die Anwendungsautorisierung zu ersetzen.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Zwei Auslassungen brechen das Design still. Wenn die äußere Domäne bereits jedes sensible Ziel direkt erreicht, ist das innere Tor optional statt zwingend. Wenn ein öffentlicher Listener oder eine zweite private Route denselben Zugang bietet, ist der beabsichtigte Pfad eine Option unter mehreren. Weisen Sie auch jedem Regelsatz einen Eigentümer zu, und lassen Sie ihren Vertrag Ziel-Dienste, erlaubte Quellidentitäten, privates DNS, Adressübersetzung und die Zuständigkeit bei fehlgeschlagener Übergabe benennen. Eine im äußeren Netz vertrauenswürdige Adresse darf niemals die Autorisierung der inneren Domäne ersetzen.
Testen Sie die Ablehnungsfälle, nicht den Erfolgspfad
Eine erfolgreiche Verbindung durch beide Tore beweist sehr wenig, denn das ist der Fall, den alle während der Einführung getestet haben. Interessant sind die Fälle, in denen eine Stufe passiert und die andere ablehnt. Drei davon decken den größten Teil des Risikos ab, und jeder hat ein erwartetes Ergebnis, das geprüft statt diskutiert werden kann.
Ist der allgemeine Zugang genehmigt und die sensible Rolle fehlt, muss gewöhnliche Arbeit weiterlaufen, während das sensible Ziel verweigert wird. Genehmigen Sie beide Stufen, und die erreichbare Menge sollte die im Änderungsdatensatz genannten Wartungsendpunkte sein, nichts Weiteres. Wird die Berechtigung mitten in der Sitzung widerrufen, muss die vereinbarte Sitzungsrichtlinie wirksam werden, ohne unabhängigen allgemeinen Zugang abzubauen. Ob dieser Widerruf eine bestehende Sitzung sofort oder bei der nächsten erneuten Authentifizierung beendet, ist eine Richtlinienentscheidung, die der Vertrag bereits enthalten sollte. Wer die Abnahmefälle geschrieben hat, ist nicht die Person, die sie während eines Vorfalls auslegen sollte.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Zählen Sie die hinzugefügten Abhängigkeiten
Jede zusätzliche Stufe fügt eine Komponente hinzu, die ausfallen kann, und eine Route, die sich korrekt in den äußeren Tunnel einbetten muss. Bei einem Teilausfall bleibt der äußere Pfad oben, während der innere unerreichbar ist, sodass der Benutzer ein gesundes VPN-Symbol neben einem Dienst sieht, der nie antwortet.
Prüfen Sie die Routen und die Blockierregeln bei Ausfall statt nur im Normalfall. Eine vom äußeren Tunnel geschobene Standardroute kann die eigene Adresse des inneren Tors einfangen, was die zweite Stufe in eine Verbindung verwandelt, die sich aufbaut und dann abfällt. Halten Sie fest, was blockiert bleiben soll, während der innere Tunnel fehlt, denn ein versehentlicher Rückfall daran vorbei ist schlimmer als ein sauberer Ausfall. Verwenden Sie dieselbe Prüfsonde auf beiden Hops, damit jeder gemessen statt angenommen wird. Zwei verbundene Statusanzeigen belegen weder Verschachtelung noch Isolierung.
Was das zweite Tor Ihnen nicht kaufen kann
Fragen Sie, ob die beiden Tore eine Anmeldeinformation, eine Zertifizierungsstelle oder eine Verwaltungsebene teilen. Wo sie es tun, teilen sie auch ihre wichtigsten Ausfallmodi, und die zweite Stufe kostet mehr als die Unabhängigkeit, die sie scheinbar hinzufügt. Getrennte kryptografische Sitzungen schaffen keine getrennten administrativen Kontrollen.
Behalten Sie das innere Tor, solange es eine Anforderung durchsetzt, die Sie benennen und testen können, etwa eine Rolle, die die äußere Domäne nie prüft. Entfernen Sie es, wenn seine einzige Aufgabe darin besteht, dieselbe Identität gegenüber denselben Zielen erneut zu authentifizieren. In jedem Fall halten Sie Anforderung, Eigentümer und Ausfallverhalten zusammen fest, damit die nächste Überprüfung über die Anforderung streitet und nicht über das Diagramm.