Δύο πύλες VPN σε σειρά: τι αποφασίζει πραγματικά η καθεμία

Η αλυσίδωση δύο VPN πωλείται συνήθως ως πρόσθετη κρυπτογράφηση, που είναι το λιγότερο ενδιαφέρον πράγμα που κάνει. Το πραγματικό προϊόν είναι μια δεύτερη απόφαση εξουσιοδότησης, που λαμβάνεται από διαφορετικό ιδιοκτήτη απέναντι σε διαφορετικό σύνολο πόρων. Αν και τα δύο στάδια δέχονται το ίδιο διαπιστευτήριο και φτάνουν στους ίδιους προορισμούς, η εσωτερική πύλη είναι διακόσμηση με πρόσθετη καθυστέρηση. Η απόφαση αν αυτή η δεύτερη απόφαση αξίζει το λειτουργικό της κόστος ξεκινά με το να ονομάσουμε τι επαληθεύει πραγματικά κάθε πύλη.

Ένα τούνελ, μετά μια δεύτερη απόφαση

Η εξωτερική πύλη απαντά σε ένα ευρύ ερώτημα: είναι αυτή εγκεκριμένη συσκευή εργαζομένου και μπορεί να φτάσει το γενικό εσωτερικό δίκτυο. Η εσωτερική πύλη απαντά σε ένα στενότερο: φέρει αυτή η ταυτότητα το δικαίωμα συντήρησης και μπορεί να φτάσει αυτά τα συγκεκριμένα τελικά σημεία διαχείρισης. Είναι διαφορετικά ερωτήματα με διαφορετικούς ιδιοκτήτες και κανένα δεν συνεπάγεται το άλλο. Η ύπαρξη διαδρομής μέσα από τα δύο στάδια δεν είναι εξουσία να χρησιμοποιείς ό,τι βρίσκεται πίσω από το δεύτερο. Το να φτάσεις στη μακρινή είσοδο αποδεικνύει ότι μια διαδρομή λειτουργεί, και τίποτα παραπάνω.

Η αρχή είναι παλιά και ακόμη αγνοείται: η θέση στο δίκτυο δεν επιχειρηματολογεί για τίποτα από μόνη της. Περίληψη αρχιτεκτονικής μηδενικής εμπιστοσύνης του NIST το λέει καθαρά, απορρίπτοντας την σιωπηρή εμπιστοσύνη που προκύπτει από το από πού ήρθε μια σύνδεση ή ποιος κατέχει το δίκτυο. Εφαρμοσμένο εδώ, η άφιξη στην εσωτερική είσοδο είναι προϋπόθεση για τους πόρους της, ποτέ η άδεια να τους χρησιμοποιήσεις.

Γράψτε τι επαληθεύει κάθε πύλη

Για κάθε στάδιο, καταγράψτε την ταυτότητα που ελέγχει, τους προορισμούς που επιτρέπει και τις συνθήκες υπό τις οποίες μπορεί να παραλειφθεί. Η εξωτερική πύλη μπορεί νόμιμα να επιτρέπει συνήθεις εσωτερικές υπηρεσίες συν τον ακροατή της εσωτερικής πύλης, και τίποτα άλλο. Η εσωτερική πύλη μπορεί να απαιτεί αξίωση ρόλου και να επιτρέπει μόνο τις διευθύνσεις διαχείρισης που ονομάζονται στο αρχείο αλλαγής. Η εφαρμογή στο μακρινό άκρο κρατά τον τελευταίο λόγο για το ποιες λειτουργίες μπορεί να εκτελεί αυτός ο ρόλος, οπότε η αλυσίδα προσθέτει μια πύλη χωρίς να αντικαθιστά την εξουσιοδότηση της εφαρμογής.

Δύο παραλείψεις σπάνε τον σχεδιασμό σιωπηλά. Αν ο εξωτερικός τομέας φτάνει ήδη άμεσα σε κάθε ευαίσθητο προορισμό, η εσωτερική πύλη είναι προαιρετική και όχι υποχρεωτική. Αν ένας δημόσιος ακροατής ή μια δεύτερη ιδιωτική διαδρομή προσφέρει την ίδια πρόσβαση, η προβλεπόμενη διαδρομή είναι μία επιλογή ανάμεσα σε πολλές. Αναθέστε επίσης ιδιοκτήτη σε κάθε σύνολο κανόνων και κάντε το συμβόλαιό τους να ονομάζει υπηρεσίες προορισμού, επιτρεπόμενες ταυτότητες προέλευσης, ιδιωτικό DNS, μετάφραση διευθύνσεων και ποιος απαντά όταν η παράδοση αποτυγχάνει. Μια διεύθυνση που θεωρείται αξιόπιστη στο εξωτερικό δίκτυο δεν πρέπει ποτέ να υποκαθιστά την εξουσιοδότηση του εσωτερικού τομέα.

Δοκιμάστε τις περιπτώσεις άρνησης, όχι την ευτυχισμένη διαδρομή

Μια επιτυχημένη σύνδεση μέσα από τις δύο πύλες αποδεικνύει πολύ λίγα, γιατί αυτή είναι η περίπτωση που δοκίμασαν όλοι κατά την ανάπτυξη. Οι ενδιαφέρουσες περιπτώσεις είναι εκείνες όπου το ένα στάδιο περνά και το άλλο αρνείται. Τρεις από αυτές καλύπτουν το μεγαλύτερο μέρος του κινδύνου και καθεμία έχει ένα αναμενόμενο αποτέλεσμα που μπορεί να ελεγχθεί αντί να συζητηθεί.

Με εγκεκριμένη γενική πρόσβαση και απουσία του ευαίσθητου ρόλου, η συνήθης εργασία πρέπει να συνεχιστεί ενώ ο ευαίσθητος προορισμός απορρίπτεται. Εγκρίνετε και τα δύο στάδια και το προσβάσιμο σύνολο πρέπει να είναι τα τελικά σημεία συντήρησης που ονομάζονται στο αρχείο αλλαγής, τίποτα ευρύτερο. Με το δικαίωμα ανακληθέν στη μέση της συνεδρίας, η συμφωνημένη πολιτική συνεδρίας πρέπει να τεθεί σε ισχύ χωρίς να διαλύει άσχετη γενική πρόσβαση. Το αν αυτή η ανάκληση τερματίζει μια υπάρχουσα συνεδρία αμέσως ή στην επόμενη επαναπιστοποίηση είναι απόφαση πολιτικής που το συμβόλαιο θα έπρεπε ήδη να περιέχει. Όποιος έγραψε τις περιπτώσεις αποδοχής δεν είναι το πρόσωπο που θα έπρεπε να τις ερμηνεύει κατά τη διάρκεια ενός περιστατικού.

curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"

Μετρήστε τις εξαρτήσεις που προσθέσατε

Κάθε πρόσθετο στάδιο προσθέτει ένα εξάρτημα που μπορεί να αποτύχει και μια διαδρομή που πρέπει να φωλιάσει σωστά μέσα στο εξωτερικό τούνελ. Κατά τη διάρκεια μερικής αστοχίας η εξωτερική διαδρομή μένει πάνω ενώ η εσωτερική είναι απρόσιτη, οπότε ο χρήστης βλέπει ένα υγιές εικονίδιο VPN δίπλα σε μια υπηρεσία που δεν απαντά ποτέ.

Ελέγξτε τις διαδρομές και τους κανόνες αποκλεισμού υπό αστοχία και όχι μόνο στην κανονική περίπτωση. Μια προεπιλεγμένη διαδρομή που σπρώχνεται από το εξωτερικό τούνελ μπορεί να συλλάβει τη διεύθυνση της ίδιας της εσωτερικής πύλης, που μετατρέπει το δεύτερο στάδιο σε σύνδεση που εγκαθίσταται και μετά πέφτει. Καταγράψτε τι υποτίθεται ότι μένει αποκλεισμένο όσο το εσωτερικό τούνελ λείπει, γιατί μια τυχαία επιστροφή γύρω του είναι χειρότερη από μια καθαρή διακοπή. Χρησιμοποιήστε το ίδιο σχήμα δοκιμής και στα δύο άλματα, ώστε το καθένα να μετράται αντί να υποτίθεται. Δύο ενδεικτικά συνδεδεμένης κατάστασης δεν αποδεικνύουν ούτε φώλιασμα ούτε απομόνωση.

Τι δεν μπορεί να σας αγοράσει η δεύτερη πύλη

Ρωτήστε αν οι δύο πύλες μοιράζονται ένα διαπιστευτήριο, μια αρχή έκδοσης πιστοποιητικών ή ένα επίπεδο διαχείρισης. Όπου το κάνουν, μοιράζονται και τους πιο σημαντικούς τρόπους αστοχίας τους, και το δεύτερο στάδιο κοστίζει περισσότερο από την ανεξαρτησία που φαίνεται να προσθέτει. Οι ξεχωριστές κρυπτογραφικές συνεδρίες δεν δημιουργούν ξεχωριστούς διοικητικούς ελέγχους.

Κρατήστε την εσωτερική πύλη όσο επιβάλλει μια απαίτηση που μπορείτε να διατυπώσετε και να δοκιμάσετε, όπως έναν ρόλο που ο εξωτερικός τομέας δεν ελέγχει ποτέ. Αφαιρέστε την όταν η μόνη δουλειά της είναι να επαναπιστοποιεί την ίδια ταυτότητα στους ίδιους προορισμούς. Σε κάθε περίπτωση, καταγράψτε την απαίτηση, τον ιδιοκτήτη και τη συμπεριφορά αστοχίας μαζί, ώστε η επόμενη αναθεώρηση να διαφωνεί για την απαίτηση και όχι για το διάγραμμα.