Always-on VPN: vojo, permeso kaj seanco aparte
Daŭre malfermita tunelo povas esti taŭga por filio kaj maltaŭga por forgesita tekkomputilo. Ekzamenu la tri statojn, kiujn ĝi tenas, kaj kion forigo vere finas.
Teni tunelon malfermita la tutan tagon kaj nokton estas dezajna decido kun prudenta versio kaj neglektema versio. Filio, kiu bezonas centran aplikaĵon la tutan tagon, plus nokta sekurkopia laboro, havas kialon. Tekkomputilo lasita konektita tri tagojn en hotelĉambro estas akcidento.
Ambaŭ montras la saman verdan ikonon, kaj ambaŭ respondas same, se oni demandas kiom longe la tunelo staras. Tiu nombro ne estas la interesa. Gravas, kion la konekto tenas disponebla, al kiu, kaj kio vere finas ĝin.
Tri horloĝoj, kiuj iras aparte
La unua stato estas la vojo. Tunelo kaj ĝiaj politikoj igas aron de servoj atingebla, kaj ligo sen trafiko povas resti preta por la sekva peto. Kiom longe ĝi restas preta estas decido de la efektivigo, ne universala tempigilo.
La dua stato estas la permeso. Akceptita identeco aŭ aparato povas esti rajtigita uzi tiun vojon. Tiu rajtigo devus ŝanĝiĝi, kiam rolo ŝanĝiĝas, aparato malaperas aŭ kompromito estas suspektata, kaj ĝi estas sendependa de tio, ĉu pakaĵoj fluas.
La tria stato estas la propra seanco de la aplikaĵo. Datumbaza kliento, fora labortablo aŭ reta aplikaĵo aŭtentikigas aparte kaj tenas sian propran staton. Fermi la tunelon ne nepre finas iun el ili.
Recenzo, kiu traktas ĉi tiujn tri kiel unu demandon, finiĝas en disputo pri senokupaj tempigiloj. Ĉiu el la tri povas esti sana aŭ rompita per si mem, kaj trovo en unu diras malmulte pri la aliaj. Kontrollisto kun tri linioj estas pli bona ol debato pri unu tempolima valoro. Skribu la respondon por ĉiu stato aparte.
La tunelo estas vojo, ne insigno
Starigita tunelo estas pruvo, ke ekzistas protektita vojo inter du finpunktoj. Ĝi ne estas pruvo, ke ĉiu procezo malantaŭ iu finpunkto devas atingi ĉiun servon sur la alia flanko.
La gvidlinioj de NIST pri nula fido diras la samon el la alia direkto: reta loko ne devus esti traktata kiel implica fido. Loka ligo estas transporta fakto, kaj permeso al unu gastiganto uzi unu aplikaĵon estas aparta decido kun propra posedanto.
Kompromitita partnero ankoraŭ povas provi malutilajn agojn tra servoj, kiujn ĝi rajtas atingi. Filtrado kaj observado reduktas specifajn riskojn sen forigi la sekvojn de kompromito de finpunkto. Dezajnu por la vojo kaj rajtigu por la servo.
Pravigi daŭran lokan ligon
La defendebla versio de ĉiam-malfermita nomas sian celon precize. Kiuj fontoj, kiuj celoj, kiun direkton, kaj kiu posedas ĉiun enskribon. Filia fajroŝirmilo, kiu permesas al ĉiu filia gastiganto ĉiun centran subreton, ne tenis ligon por nomita celo; ĝi tenis ĝin por ĉio, kion iu pripensos poste.
Kie partnero ne povas atingi la postulatan fidan nivelon, mallarĝigu la limon aŭ ŝanĝu la aranĝon. Fidi okazan manan malkonekton estas proceza kontrolo, kaj procezaj kontroloj estas malplej fidindaj ĝuste kiam okazaĵo igas ilin maloportunaj.
Konservu la pravigon kun la agordo. Daŭra escepto kun skribita celo povas esti reviziita kaj retirita. Unu sen celo fariĝas daŭra defaŭlte.
Ŝlosila anstataŭigo ne estas revoko
Anstataŭigi ŝlosilojn laŭ horaro konservas la protektan vivciklon. Ĝi refreŝigas materialon kaj konservas konfidencon. Sed ĝi ne forprenas la rajton de finpunkto.
Se la finpunkto ankoraŭ havas validajn akreditaĵojn kaj alirpolitikon, kiu akceptas ĝin, la sekva intertraktado restarigas la saman permesitan vojon. Tial hora rotacio de ŝlosiloj ne estas respondo al perdita aparato: la perdita aparato ankaŭ rotacias, dum ĝia identeco ankoraŭ estas fidata. Kontrolu la rajton antaŭ ol la horaro. Rotacio estas higieno, kaj revoko estas alirdecido.
Revoko estas alia mekanismo kun propra latento: revokita atestilo, malŝaltita konto, ŝanĝita grupo, forigita reta regulo. Ĉiu efikas je malsama punkto, kaj ĉiu kondutas malsame por jam starigitaj seancoj.
Fini tion, kio jam funkcias
Demandu, kion la efektivigo faras al starigitaj seancoj, kiam la aliro estas forigita. Ĝi povas fini ilin, atendi eksvalidiĝon aŭ apliki dokumentitan konduton intere. Ne supozu, ke la morgaŭa akcepta ŝanĝo fermos la hodiaŭan aplikaĵan konekton.
Por interaga aliro, metu seanclimojn kaj senokupajn regulojn en la manojn de la posedantoj de identeco kaj VPN, ne nur de la reta teamo. Por loka servo, difinu la proceduron, kiun bontenado, paneo aŭ sekureca okazaĵo uzas por malŝalti aliron.
Poste testu tri rezultojn: permesita laboro ankoraŭ funkcias, nerilata servo estas rifuzita, kaj la foriga proceduro donas la dokumentitan rezulton. Ĉiam-malfermita dezajno estas akceptebla, kiam ĝia celo, rajtigo kaj kapablo malŝalti estas ĉiuj skribitaj kaj ekzercitaj. Alie ĝi estas oportuno, kiu supervivis sian kialon.