Kaks VPN-väravat järjest: mida kumb tegelikult otsustab
Kaks VPN-astet järjest peaksid tähendama kahte eraldi loaotsust. Nimetage, mida kumb värav kontrollib, ja seejärel testige, mida sisemine keeldub.
Kahe VPN-i aheldamist müüakse tavaliselt lisakrüpteerimisena, mis on kõige vähem huvitav asi, mida see teeb. Tegelik toode on teine autoriseerimisotsus, mille teeb teine omanik teise ressursikomplekti suhtes. Kui mõlemad astmed aktsepteerivad sama mandaati ja jõuavad samadesse sihtkohtadesse, on sisemine värav lisaviitega kaunistus. Otsus, kas see teine otsus on oma halduskulu väärt, algab sellest, kui nimetada, mida kumb värav tegelikult kontrollib.
Üks tunnel, siis teine otsus
Välimine värav vastab laiale küsimusele: kas see on kinnitatud töötaja seade ja kas see võib jõuda üldisesse sisevõrku. Sisemine värav vastab kitsamale: kas sellel identiteedil on hooldusõigus ja kas see võib jõuda nendesse konkreetsetesse halduslõpp-punktidesse. Need on erinevad küsimused erinevate omanikega ja kumbki ei eelda teist. Mõlemast astmest läbiv tee ei ole volitus kasutada seda, mis asub teise taga. Kaugesse sissepääsu jõudmine tõestab, et marsruut töötab, ja ei midagi enamat.
Põhimõte on vana ja seda eiratakse endiselt: võrguasukoht ei argumenteeri iseenesest millegi poolt. NISTi nullusalduse arhitektuuri kokkuvõte ütleb seda selgelt, lükates tagasi kaudse usalduse, mis tuleneb sellest, kust ühendus tuli või kellele võrk kuulub. Siin rakendatuna on sisemisse sissepääsu jõudmine selle ressursside eeltingimus, mitte kunagi nende kasutamise luba.
Kirjutage üles, mida kumb värav kontrollib
Iga astme kohta registreerige identiteet, mida see kontrollib, sihtkohad, mida see lubab, ja tingimused, mille korral selle võib vahele jätta. Välimine värav võib seaduslikult lubada tavalisi sise teenuseid pluss sisemise värava kuulajat ja mitte midagi muud. Sisemine värav võib nõuda rolliväidet ja lubada ainult muudatuste kirjes nimetatud haldusaadresse. Kaugemas otsas olev rakendus jätab endale viimase sõna selle üle, milliseid toiminguid see roll tohib teha, nii et ahel lisab värava, ilma rakenduse autoriseerimist asendamata.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Kaks väljajätmist lammutavad disaini vaikselt. Kui välimine domeen juba jõuab otse igasse tundlikku sihtkohta, on sisemine värav valikuline, mitte kohustuslik. Kui avalik kuulaja või teine privaatne marsruut pakub sama juurdepääsu, on kavandatud tee üks mitmest valikust. Määrake omanik ka igale reeglikomplektile ja laske nende lepingul nimetada sihtkoha teenused, lubatud allikaidentiteedid, privaatne DNS, aadresside tõlkimine ja see, kes vastab, kui üleandmine ebaõnnestub. Välisvõrgus usaldatud aadress ei tohi kunagi asendada sisemise domeeni autoriseerimist.
Testige keeldumisjuhtumeid, mitte õnnelikku teed
Edukas ühendus mõlemast väravast tõestab väga vähe, sest see on juhtum, mida kõik kasutuselevõtu ajal testisid. Huvitavad on juhtumid, kus üks aste läbib ja teine keeldub. Kolm neist katavad suurema osa riskist ja igal on oodatav tulemus, mida saab kontrollida, mitte vaidlustada.
Kui üldine juurdepääs on kinnitatud ja tundlik roll puudub, peab tavaline töö jätkuma, samal ajal kui tundlikust sihtkohast keeldutakse. Kinnitage mõlemad astmed ja kättesaadav komplekt peaks olema muudatuste kirjes nimetatud hoolduslõpp-punktid, mitte laiem. Kui õigus tühistatakse keset sessiooni, peab kokkulepitud sessioonipoliitika jõustuma, ilma et see rebiks maha mitteseotud üldise juurdepääsu. Kas see tühistamine lõpetab olemasoleva sessiooni kohe või järgmisel taasautentimisel, on poliitikaotsus, mis peaks lepingus juba sisalduma. See, kes vastuvõtujuhtumid kirjutas, ei ole see inimene, kes peaks neid intsidendi ajal tõlgendama.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Loendage lisatud sõltuvused
Iga lisanduv aste lisab komponendi, mis võib ebaõnnestuda, ja marsruudi, mis peab välise tunneli sees õigesti pesastuma. Osalise tõrke ajal jääb välimine tee püsti, samal ajal kui sisemine on kättesaamatu, nii et kasutaja näeb tervet VPN-ikooni teenuse kõrval, mis ei vasta kunagi.
Kontrollige marsruute ja blokeerimisreegleid tõrke ajal, mitte ainult tavajuhtumis. Välise tunneli lükatud vaikemarsruut võib haarata sisemise värava enda aadressi, mis muudab teise astme ühenduseks, mis luuakse ja seejärel kukub. Registreerige, mis peaks jääma blokeerituks, kui sisemine tunnel puudub, sest juhuslik taganemine selle ümber on hullem kui puhas katkestus. Kasutage sama sondi kuju mõlemal hüppel, et igaüht mõõdetaks, mitte eeldataks. Kaks ühendatud oleku indikaatorit ei tuvasta ei pesastumist ega isolatsiooni.
Mida teine värav teile osta ei saa
Küsige, kas kaks väravat jagavad mandaati, sertifitseerimisasutust või haldustasandit. Kui jagavad, jagavad nad ka oma tähtsamaid tõrkerežiime ja teine aste maksab rohkem kui sõltumatus, mida see näiliselt lisab. Eraldi krüptograafilised sessioonid ei loo eraldi halduskontrolle.
Hoidke sisemist väravat seni, kuni see rakendab nõuet, mille saate sõnastada ja testida, näiteks roll, mida välimine domeen kunagi ei kontrolli. Loobuge sellest, kui selle ainus töö on sama identiteedi uuesti autentimine samade sihtkohtade vastu. Mõlemal juhul registreerige nõue, omanik ja tõrkekäitumine koos, et järgmine ülevaatus vaidleks nõude, mitte diagrammi üle.