دو دروازه VPN پشت سر هم: هر کدام واقعاً چه چیزی را تعیین می‌کند
دو مرحله VPN پشت سر هم باید به معنای دو تصمیم مجوز جداگانه باشد. نام ببرید هر دروازه چه چیزی را بررسی می‌کند، سپس آزمایش کنید دروازه داخلی چه چیزی را رد می‌کند.
زنجیره‌کردن دو VPN معمولاً به عنوان رمزنگاری اضافی فروخته می‌شود، که کم‌جالب‌ترین کاری است که انجام می‌دهد. محصول واقعی یک تصمیم مجوز دوم است که مالک متفاوتی در برابر مجموعه‌ای متفاوت از منابع می‌گیرد. اگر هر دو مرحله همان اعتبارنامه را بپذیرند و به همان مقاصد برسند، دروازه داخلی تزئینی با تأخیر اضافی است. تصمیم‌گیری درباره اینکه آیا آن تصمیم دوم ارزش هزینه عملیاتی‌اش را دارد با نام‌بردن آنچه هر دروازه واقعاً بررسی می‌کند آغاز می‌شود.
یک تونل، سپس یک تصمیم دوم
دروازه بیرونی به پرسشی گسترده پاسخ می‌دهد: آیا این دستگاه تأییدشده کارمند است و می‌تواند به شبکه داخلی عمومی برسد. دروازه داخلی به پرسشی تنگ‌تر: آیا این هویت حق نگهداری را دارد و می‌تواند به این نقاط پایانی مدیریتی مشخص برسد. این‌ها پرسش‌های متفاوتی با مالکان متفاوت‌اند و هیچ‌کدام دیگری را در بر نمی‌گیرد. وجود مسیری از هر دو مرحله اختیار استفاده از آنچه پشت دومی است نیست. رسیدن به ورودی دور ثابت می‌کند یک مسیر کار می‌کند، و نه بیشتر.
این اصل قدیمی است و هنوز نادیده گرفته می‌شود: موقعیت شبکه به‌خودی‌خود چیزی را ثابت نمی‌کند. خلاصه معماری اعتماد صفر NIST آن را صریح می‌گوید و اعتماد ضمنی را که از مبدأ اتصال یا مالکیت شبکه ناشی می‌شود رد می‌کند. در اینجا به‌کاررفته، رسیدن به ورودی داخلی پیش‌شرطی برای منابع آن است، هرگز مجوز استفاده از آن‌ها نیست.
بنویسید هر دروازه چه چیزی را بررسی می‌کند
برای هر مرحله هویتی را که بررسی می‌کند، مقاصدی را که اجازه می‌دهد و شرایطی را که می‌توان از آن عبور کرد ثبت کنید. دروازه بیرونی می‌تواند به‌طور مشروع خدمات داخلی عادی به‌علاوه شنونده دروازه داخلی را مجاز کند، و نه چیزی بیشتر. دروازه داخلی می‌تواند ادعای نقش بخواهد و تنها نشانی‌های مدیریتی نام‌برده در سابقه تغییر را مجاز کند. برنامه در انتهای دور آخرین حرف را درباره اینکه آن نقش چه عملیاتی می‌تواند انجام دهد می‌زند، بنابراین زنجیره یک دروازه اضافه می‌کند بدون آنکه مجوز برنامه را جایگزین کند.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
دو حذف، طراحی را بی‌صدا می‌شکنند. اگر دامنه بیرونی از قبل مستقیماً به هر مقصد حساسی می‌رسد، دروازه داخلی اختیاری است نه اجباری. اگر شنونده عمومی یا مسیر خصوصی دومی همان دسترسی را عرضه کند، مسیر موردنظر یکی از چند گزینه است. به هر مجموعه قاعده هم مالکی اختصاص دهید و بگذارید قراردادشان خدمات مقصد، هویت‌های مبدأ مجاز، DNS خصوصی، ترجمه نشانی و اینکه در صورت شکست تحویل چه کسی پاسخ می‌دهد را نام ببرد. نشانی‌ای که در شبکه بیرونی مورد اعتماد است هرگز نباید جای مجوز دامنه داخلی را بگیرد.
موارد رد را آزمایش کنید، نه مسیر خوش‌بینانه را
اتصال موفق از هر دو دروازه چیز بسیار کمی را ثابت می‌کند، چون همان موردی است که همه در زمان استقرار آزمایش کردند. موارد جالب آن‌هایی هستند که یک مرحله عبور می‌کند و دیگری رد می‌کند. سه مورد از آن‌ها بیشتر ریسک را پوشش می‌دهد و هر کدام نتیجه‌ای مورد انتظار دارد که می‌توان آن را بررسی کرد نه بحث.
با تأیید دسترسی عمومی و نبود نقش حساس، کار عادی باید ادامه یابد در حالی که مقصد حساس رد می‌شود. هر دو مرحله را تأیید کنید و مجموعه قابل‌دسترس باید نقاط پایانی نگهداری نام‌برده در سابقه تغییر باشد، نه گسترده‌تر. با لغو حق در میانه نشست، سیاست نشست توافق‌شده باید بدون از هم گسیختن دسترسی عمومی نامرتبط اعمال شود. اینکه این لغو یک نشست موجود را فوراً پایان دهد یا در احراز هویت مجدد بعدی، تصمیم سیاستی است که قرارداد باید از قبل آن را داشته باشد. کسی که موارد پذیرش را نوشته، همان کسی نیست که باید در زمان حادثه آن‌ها را تفسیر کند.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"وابستگی‌هایی را که افزودید بشمارید
هر مرحله اضافی مؤلفه‌ای می‌افزاید که می‌تواند شکست بخورد و مسیری که باید به‌درستی درون تونل بیرونی تودرتو شود. در شکست جزئی مسیر بیرونی بالا می‌ماند در حالی که مسیر داخلی دسترسی‌ناپذیر است، پس کاربر نماد VPN سالمی را کنار خدماتی می‌بیند که هرگز پاسخ نمی‌دهد.
مسیرها و قواعد مسدودسازی را در شرایط شکست بررسی کنید نه فقط در حالت عادی. یک مسیر پیش‌فرض که تونل بیرونی هل می‌دهد می‌تواند نشانی خود دروازه داخلی را بگیرد، که مرحله دوم را به اتصالی تبدیل می‌کند که برقرار می‌شود و سپس قطع می‌شود. ثبت کنید چه چیزی باید مسدود بماند وقتی تونل داخلی نیست، چون عقب‌نشینی تصادفی حول آن بدتر از قطعی پاک است. از همان شکل کاوش در هر دو پرش استفاده کنید تا هر یک سنجیده شود نه فرض. دو نشانگر وضعیت متصل نه تودرتویی را ثابت می‌کنند نه جداسازی را.
چیزی که دروازه دوم نمی‌تواند برایتان بخرد
بپرسید آیا دو دروازه یک اعتبارنامه، یک مرجع صدور گواهی یا یک صفحه مدیریت را به اشتراک می‌گذارند. جایی که این کار را می‌کنند، مهم‌ترین حالت‌های شکست خود را نیز به اشتراک می‌گذارند، و مرحله دوم بیش از استقلالی که ظاهراً می‌افزاید هزینه دارد. نشست‌های رمزنگاری جداگانه کنترل‌های اداری جداگانه ایجاد نمی‌کنند.
دروازه داخلی را نگه دارید تا زمانی که الزامی را اجرا می‌کند که می‌توانید بیان و آزمایش کنید، مانند نقشی که دامنه بیرونی هرگز بررسی نمی‌کند. آن را کنار بگذارید وقتی تنها کارش احراز هویت مجدد همان هویت در برابر همان مقاصد است. در هر حال، الزام، مالک و رفتار شکست را با هم ثبت کنید تا بازبینی بعدی درباره الزام بحث کند نه درباره نمودار.