Kaksi VPN-porttia peräkkäin: mitä kumpikin oikeastaan päättää
Kahden VPN-vaiheen peräkkäin pitäisi tarkoittaa kahta erillistä lupapäätöstä. Nimeä, mitä kukin portti tarkistaa, ja testaa sitten, mitä sisempi kieltäytyy.
Kahden VPN:n ketjuttamista myydään yleensä lisäsalauksena, mikä on vähiten kiinnostava asia, jonka se tekee. Varsinainen tuote on toinen valtuutuspäätös, jonka tekee toinen omistaja toista resurssijoukkoa vastaan. Jos molemmat vaiheet hyväksyvät saman tunnistetiedon ja saavuttavat samat kohteet, sisempi portti on koriste ylimääräisellä viiveellä. Päätös siitä, onko tuo toinen päätös käyttökustannustensa arvoinen, alkaa nimeämällä, mitä kukin portti todella tarkistaa.
Yksi tunneli, sitten toinen päätös
Ulompi portti vastaa laajaan kysymykseen: onko tämä hyväksytty työntekijän laite, ja saako se saavuttaa yleisen sisäverkon. Sisempi portti vastaa kapeampaan: kantavatko nämä tunnistetiedot ylläpitooikeuden, ja saako se saavuttaa nämä tietyt hallinnan päätepisteet. Ne ovat eri kysymyksiä eri omistajilta, eikä kumpikaan edellytä toista. Polun olemassaolo molempien vaiheiden läpi ei ole valtuus käyttää sitä, mikä on toisen takana. Kaukopääsyyn pääseminen todistaa, että reitti toimii, eikä mitään muuta.
Periaate on vanha ja sitä yhä jätetään huomiotta: verkkosijainti ei itsessään argumentoi minkään puolesta. NIST:n nollaluottamuksen arkkitehtuurin tiivistelmä sanoo sen selvästi ja hylkää implisiittisen luottamuksen, joka seuraa siitä, mistä yhteys tuli tai kuka verkon omistaa. Tässä sovellettuna sisempään sisäänkäyntiin saapuminen on sen resurssien ennakkoehto, ei koskaan lupa käyttää niitä.
Kirjoita ylös, mitä kukin portti tarkistaa
Kirjaa jokaisesta vaiheesta identiteetti, jonka se tarkistaa, kohteet, jotka se sallii, ja ehdot, joilla se voidaan ohittaa. Ulompi portti voi laillisesti sallia tavalliset sisäpalvelut sekä sisemmän portin kuuntelijan, eikä mitään muuta. Sisempi portti voi vaatia rooliväitteen ja sallia vain muutoskirjauksessa nimetyt hallintaosoitteet. Kaukopäässä oleva sovellus pitää viimeisen sanan siitä, mitä toimintoja kyseinen rooli saa suorittaa, joten ketju lisää portin korvaamatta sovelluksen valtuutusta.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Kaksi laiminlyöntiä rikkoo suunnittelun hiljaa. Jos ulompi toimialue saavuttaa jo suoraan jokaisen arkaluontoisen kohteen, sisempi portti on valinnainen eikä pakollinen. Jos julkinen kuuntelija tai toinen yksityinen reitti tarjoaa saman pääsyn, aiottu polku on yksi vaihtoehto monista. Määritä omistaja myös jokaiselle sääntöjoukolle ja anna niiden sopimuksen nimetä kohdepalvelut, sallitut lähdeidentiteetit, yksityinen DNS, osoitteenmuunnos ja se, kuka vastaa, kun luovutus epäonnistuu. Ulkoverkossa luotettu osoite ei saa koskaan korvata sisemmän toimialueen valtuutusta.
Testaa hylkäystapaukset, älä onnellista polkua
Onnistunut yhteys molempien porttien läpi todistaa hyvin vähän, koska se on tapaus, jota kaikki testasivat käyttöönoton aikana. Kiinnostavia ovat tapaukset, joissa toinen vaihe päästää läpi ja toinen hylkää. Kolme niistä kattaa suurimman osan riskistä, ja jokaisella on odotettu tulos, joka voidaan tarkistaa eikä väitellä.
Kun yleinen pääsy on hyväksytty ja arkaluontoinen rooli puuttuu, tavallisen työn on jatkuttava, kun arkaluontoisesta kohteesta kieltäydytään. Hyväksy molemmat vaiheet, ja saavutettavan joukon tulee olla muutoskirjauksessa nimetyt ylläpidon päätepisteet, ei mitään laajempaa. Kun oikeus peruutetaan kesken istunnon, sovitun istuntokäytännön on tultava voimaan repimättä alas asiaankuulumatonta yleistä pääsyä. Päättääkö tämä peruutus olemassa olevan istunnon heti vai seuraavassa uudelleentodennuksessa, on käytäntöpäätös, joka sopimuksessa pitäisi jo olla. Se, joka kirjoitti hyväksymistapaukset, ei ole se henkilö, jonka pitäisi tulkita niitä tapahtuman aikana.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Laske lisäämäsi riippuvuudet
Jokainen lisävaihe lisää komponentin, joka voi epäonnistua, ja reitin, joka on sisällytettävä oikein ulompaan tunneliin. Osittaisen vian aikana ulompi polku pysyy pystyssä, kun sisempi on saavuttamaton, joten käyttäjä näkee terveen VPN-kuvakkeen palvelun vieressä, joka ei koskaan vastaa.
Tarkista reitit ja estosäännöt vian aikana eikä vain normaalitapauksessa. Ulomman tunnelin työntämä oletusreitti voi kaapata sisemmän portin oman osoitteen, mikä muuttaa toisen vaiheen yhteydeksi, joka muodostuu ja sitten putoaa. Kirjaa, mikä on tarkoitus pitää estettynä, kun sisempi tunneli puuttuu, koska tahaton paluu sen ohi on pahempi kuin puhdas katkos. Käytä samaa koettimen muotoa molemmilla hypyillä, jotta kukin mitataan eikä oleteta. Kaksi yhdistettyä tilamerkkiä eivät osoita sisäkkäisyyttä eivätkä eristystä.
Mitä toinen portti ei voi ostaa sinulle
Kysy, jakavatko kaksi porttia tunnistetiedon, varmentajan tai hallintatason. Jos jakavat, ne jakavat myös tärkeimmät vikatilansa, ja toinen vaihe maksaa enemmän kuin riippumattomuus, jonka se näyttää lisäävän. Erilliset salausistunnot eivät luo erillisiä hallinnollisia kontrolleja.
Pidä sisempi portti niin kauan kuin se toteuttaa vaatimuksen, jonka voit esittää ja testata, kuten roolin, jota ulompi toimialue ei koskaan tarkista. Poista se, kun sen ainoa tehtävä on todentaa sama identiteetti uudelleen samoihin kohteisiin. Joka tapauksessa kirjaa vaatimus, omistaja ja vikakäyttäytyminen yhdessä, jotta seuraava katsaus väittelee vaatimuksesta eikä kaaviosta.