Bi VPN ate segidan: zer erabakitzen duen bakoitzak benetan
Bi VPN etapa segidan bi baimen-erabaki bereizi beharko lirateke. Izenda itzazu ate bakoitzak egiaztatzen duena, eta gero probatu barnekoak ukatzen duena.
Bi VPN kateatzea enkriptatze gehigarri gisa saltzen da normalean, eta hori da egiten duen gauzarik interesik gabeena. Benetako produktua bigarren baimen-erabakia da, beste jabe batek beste baliabide-multzo baten aurrean hartua. Bi etapak kredentzial bera onartzen badute eta helmuga berberetara iristen badira, barneko atea apaingarria da latentzia gehigarriarekin. Bigarren erabaki hori bere kostu operatiboa merezi duen erabakitzea ate bakoitzak benetan zer egiaztatzen duen izendatzen hastea da.
Tunel bat, gero bigarren erabakia
Kanpoko ateak galdera zabal bati erantzuten dio: enplegatuaren gailu onartua al da, eta barne-sare orokorrera irits daiteke. Barneko ateak estuago bati: identitate honek mantentze-eskubidea darama, eta kudeaketa-endpoint zehatz hauetara irits daiteke. Jabe desberdineko galdera desberdinak dira, eta batek ez du bestea inplikatzen. Bi etapetan zehar bide bat egotea ez da bigarrenaren atzean dagoena erabiltzeko autoritatea. Urrutiko sarrerara iristeak bide bat funtzionatzen duela frogatzen du, eta ez gehiago.
Printzipioa zaharra da eta oraindik alde batera uzten da: sare-kokalekuak ez du berez ezer argudiatzen. NIST-en zero konfiantzako arkitekturaren laburpena argi dio, konexio bat nondik etorri zen edo sarearen jabe nor den ondorioztatzen duen konfiantza inplizitua baztertuz. Hemen aplikatuta, barneko sarrerara iristea bere baliabideen aurretiko baldintza da, inoiz ez haiek erabiltzeko baimena.
Idatz itzazu ate bakoitzak egiaztatzen dituenak
Etapa bakoitzerako, erregistratu egiaztatzen duen identitatea, onartzen dituen helmugak eta saihets daitekeen baldintzak. Kanpoko ateak legituki onar ditzake barne-zerbitzu arruntak gehi barneko atearen entzulea, eta besterik ez. Barneko ateak rol-aldarrikapena eska dezake eta aldaketa-erregistroan izendatutako kudeaketa-helbideak soilik onartu. Urrutiko muturreko aplikazioak azken hitza gordetzen du rol horrek zein eragiketa egin ditzakeen, beraz kateak ate bat gehitzen du aplikazioaren baimena ordezkatu gabe.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Bi huts egiteak diseinua isilka hausten dute. Kanpo-domeinuak jada helmuga sentikor guztietara zuzenean iristen bada, barneko atea aukerakoa da, ez derrigorrezkoa. Entzule publiko batek edo bigarren bide pribatu batek sarbide bera eskaintzen badu, aurreikusitako bidea hainbat aukeren arteko bat da. Esleitu jabe bat arau-multzo bakoitzari ere, eta egin haien kontratuak helmuga-zerbitzuak, onartutako iturburu-identitateak, DNS pribatua, helbideen itzulpena eta transferentziak huts egitean nor den erantzuten duena izenda ditzan. Kanpo-sarean fidagarria den helbide batek ez du inoiz barne-domeinuaren baimena ordezkatu behar.
Probatu ukapen-kasuak, ez bide zoriontsua
Bi ateetatik zehar konexio arrakastatsu batek oso gutxi frogatzen du, hedapenean denek probatu zuten kasua delako. Kasu interesgarriak etapa batek gainditzen duenean eta besteak ukatzen duenean dira. Horietako hiruk arriskuaren zati handiena estaltzen dute, eta bakoitzak eztabaidatu beharrean egiaztatu daitekeen emaitza espero du.
Sarbide orokorra onartuta eta rol sentikorra falta denean, lan arruntak jarraitu behar du helmuga sentikorra ukatzen den bitartean. Onartu bi etapak eta iristeko moduko multzoak aldaketa-erregistroan izendatutako mantentze-endpointak izan behar ditu, ez gehiago. Eskubidea saioaren erdialdean baliogabetzen bada, adostutako saio-politikak indarrean jarri behar du loturarik gabeko sarbide orokorra hautsi gabe. Baliogabetze horrek lehendik dagoen saio bat berehala edo hurrengo berrautentifikazioan amaitzen duen politikako erabakia da, kontratuak jadanik eduki beharko lukeena. Onarpen-kasuak idatzi zituenak ez da intzidente batean haiek interpretatu beharko lituzkeen pertsona.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Zenbatu gehitu dituzun mendekotasunak
Etapa gehigarri bakoitzak huts egin dezakeen osagai bat eta kanpoko tunelean behar bezala habiaratu behar den bide bat gehitzen ditu. Hutsegite partzial batean kanpoko bidea zutik geratzen da barnekoa iristezina den bitartean, beraz erabiltzaileak inoiz erantzuten ez duen zerbitzu baten ondoan VPN ikono osasuntsua ikusten du.
Egiaztatu bideak eta blokeo-arauak hutsegitean, ez soilik kasu normalean. Kanpoko tuneleko bide lehenetsi batek barneko atearen helbidea bera harrapa dezake, eta horrek bigarren etapa ezartzen den eta gero erortzen den konexio bihurtzen du. Erregistratu zer geratu behar den blokeatuta barneko tunela falta den bitartean, haren inguruko atzera-egite ustekabea etenaldi garbia baino okerragoa delako. Erabili zunda-forma bera bi jauzietan, bakoitza neurtua izan dadin suposatua izan beharrean. Bi egoera-adierazlek konektatuta ez dute habiaratzerik ez isolamendurik ezartzen.
Zer ezin dizun bigarren ateak erosi
Galdetu bi ateek kredentzial bat, ziurtagiri-agintaritza bat edo kudeaketa-plano bat partekatzen duten. Partekatzen dutenean, haien hutsegite-modu garrantzitsuenak ere partekatzen dituzte, eta bigarren etapan itxuraz gehitzen duen independentzia baino gehiago kostatzen da. Kriptografia-saio bereiziek ez dituzte kontrol administratibo bereiziak sortzen.
Eutsi barneko atea adieraz eta proba dezakezun baldintza bat betearazten duen bitartean, hala nola kanpo-domeinuak inoiz egiaztatzen ez duen rol bat. Kendu ezazu bere lan bakarra identitate bera helmuga berberen aurka berrautentikatzea denean. Edozein kasutan, erregistratu baldintza, jabea eta hutsegite-jokabidea elkarrekin, hurrengo berrikuspenak baldintzaz eztabaida dezan diagramaz eta ez.