Always-on VPN: paad, tastimming en sesje apart

In tunnel de hiele dei en nacht iepen hâlde is in ûntwerpkar mei in ferantwurde en in sleauwe ferzje. In filiaal dat de hiele dei in sintrale applikaasje nedich hat, mei dêrby in nachtlike reservekopy-taak, hat in reden. In laptop dy’t trije dagen ferbûn yn in hotelkeamer bliuwt, is in ûngelok.

Beide litte itselde griene ikoan sjen, en beide antwurdzje itselde as jo freegje hoe lang de tunnel al iepen is. Dat getal is net it nijsgjirrige. Wat fan belang is, is wat de ferbining beskikber hâldt, foar wa, en wat it echt einiget.

Trije klokken dy’t apart rinne

De earste steat is it paad. In tunnel en syn belied meitsje in stel tsjinsten berikber, en in ferbining sûnder ferkear kin klear bliuwe foar it folgjende fersyk. Hoe lang oft er klear bliuwt is in ymplemintaasjebeslút, gjin universele timer.

De twadde steat is de tastimming. In akseptearre identiteit of apparaat kin autorisearre wêze om dat paad te brûken. Dy autorisaasje moat feroarje as in rol feroaret, in apparaat ferdwynt of kompromis fermoede wurdt, en it stiet los fan oft pakketten streame.

De tredde steat is de eigen sesje fan de applikaasje. In databankklient, in ôfstân buroblêd of in webapplikaasje autentisearret apart en hâldt syn eigen steat. It sluten fan de tunnel einiget net needsaaklik ien fan har.

In resinsje dy’t dizze trije as ien fraach behannelet, einiget yn in diskusje oer stilstand-timers. Elk fan de trije kin op himsels sûn of stikken wêze, en in befinning by ien seit net folle oer de oaren. In checklist fan trije rigels is better as in debat oer ien wachttiidwearde. Skriuw it antwurd foar elke steat apart.

De tunnel is in paad, gjin badge

In oanleine tunnel is bewiis dat der in beskerme paad tusken twa einen bestiet. It is gjin bewiis dat elk proses efter hokker ein dan ek elke tsjinst oan de oare kant berikke moat.

De nulfertrouwen-ried fan NIST seit itselde fan de oare kant: netwurklokaasje moat net as ymplisite fertrouwen behannele wurde. In sideferbining is in transportfeit, en tastimming foar ien host om ien applikaasje te brûken is in apart beslút mei syn eigen eigner.

In kompromittearre partner kin noch skealike aksjes besykje fia tsjinsten dêr’t er talitting ta hat. Filterjen en tafersjoch ferminderje konkrete risiko’s sûnder de gefolgen fan einpuntkompromis út te wiskjen. Untwerp foar it paad en autorisearje foar de tsjinst.

In permaninte sideferbining rjochtfeardigje

De ferdedigbere ferzje fan altyd-iepen neamt syn doel presys. Hokker boarnen, hokker bestimmings, hokker rjochting en wa’t elk item besit. In filiaalfirewall dy’t elke filiaalhost talitting jout ta elk sintraal subnet hat gjin ferbining foar in neamd doel hâlden; hy hat dy hâlden foar alles dêr’t immen letter op komt.

Dêr’t in partner it fereaske fertrouwensnivo net helje kin, fernau it grinsgebiet of feroarje de regeling. Fertrouwe op somtiden hânmjittich ôfkeppelje is in prosessekontrôle, en prosessekontrôles binne it minst betrouber krekt as in ynsidint se ûnhandich makket.

Hâld de rjochtfeardiging by de konfiguraasje. In permaninte útsûndering mei in skreaun doel kin besjoen en weromlutsen wurde. Ien sûnder doel wurdt standert permanint.

Kaaiwiksel is gjin ynlûken

Kaaien ferfange neffens in skema ûnderhâldt de libbenssyklus fan de beskerming. It ferfrist materiaal en behâldt fertroulikheid. Mar it nimt gjin rjocht fan in einpunt ôf.

As it einpunt noch jildige bewizen en in tagongsbelied hat dat it akseptearret, stellen de folgjende ûnderhannelingen itselde talitten paad werom. Dêrom is kaaien elk oere draaie gjin antwurd op in ferlern apparaat: it ferlerne apparaat draait ek, salang’t syn identiteit noch fertroud is. Kontrolearje it rjocht foar it skema. Draaie is hygiêne en ynlûken is in tagongsbeslút.

Ynlûken is in oar meganisme mei syn eigen fertraging: in ynlutsen sertifikaat, in útskeakele akkount, in feroare groep, in fuorthelle netwurkregel. Elk wurket op in oar momint en gedraacht him oars foar sesjes dy’t al oanlein binne.

Einigje wat al rint

Freegje wat de ymplemintaasje docht mei oanleine sesjes as de tagong fuorthelle wurdt. It kin se einigje, op ferrin wachtsje of in dokumintearre gedrach dertusken tapasse. Nim net oan dat de talitting fan moarn de applikaasjefverbining fan hjoed slút.

Foar ynteraktive tagong, lis sesjelimiten en ynaktiviteitsregels by de eigners fan identiteit en VPN, net allinnich by it netwurkteam. Foar in sidetsjinst, fêstigje de proseduere dy’t ûnderhâld, in steuring of in feilichheidsynsidint brûkt om tagong út te skeakeljen.

Testje dan trije útkomsten: talitten wurk wurket noch, in net besibbe tsjinst wurdt wegere, en de proseduere foar fuortheljen jout it dokumintearre resultaat. In altyd-iepen ûntwerp is akseptabel as syn doel, autorisaasje en útskeakelfermogen allegear opskreaun en oefene binne. Oars is it in geriif dat syn reden oerlibbe hat.