Twa VPN-poarten yn rige: wat elk eins beslút
Twa VPN-stappen yn rige soene twa aparte tastimmingbesluten betsjutte moatte. Neam wat elke poarte kontrolearret, en test dan wat de binnenste wegeret.
It keatlingjen fan twa VPN's wurdt meast as ekstra fersifering ferkocht, wat it minst nijsgjirrige ding is dat it docht. It echte produkt is in twadde autorisaasjebeslút, nommen troch in oare eigner tsjin in oare set boarnen. As beide stappen deselde leautiidsbewiis akseptearje en deselde bestimmingen berikke, is de binnenste poarte fersiering mei ekstra fertraging. Beslute oft dat twadde beslút syn bedriuwskosten wurdich is, begjint mei it neamen fan wat elke poarte eins ferifiearret.
Ien tunnel, dan in twadde beslút
De bûtenste poarte beantwurdet in brede fraach: is dit in goedkard meiwurkersapparaat, en mei it it algemiene ynterne netwurk berikke. De binnenste poarte beantwurdet in nauwere: draacht dizze identiteit it ûnderhâldsrjocht, en mei it dizze spesifike behear-einpunten berikke. Dat binne ferskate fragen mei ferskate eigners, en gjinien betsjut de oare. In paad troch beide stappen bestean is gjin foech om te brûken wat efter de twadde sit. De fiere yngong berikke bewiist dat in rûte wurket, en neat mear.
It prinsipe is âld en wurdt noch altyd negearre: netwurkplak pleitet op himsels foar neat. Gearfetting fan 'e NIST nulfertrouwensarsjitektuer seit it dúdlik, en ferwerpt ymplisyt fertrouwen dat folget út wêr't in ferbining wei kaam of wa't it netwurk besit. Hjir tapast is it berikken fan 'e binnenste yngong in betingst foar syn boarnen, nea de tastimming om se te brûken.
Skriuw op wat elke poarte ferifiearret
Foar elke stap registrearje de identiteit dy't it kontrolearret, de bestimmingen dy't it tastiet en de betingsten wêryn't it oerslein wurde kin. De bûtenste poarte mei rjochtmatich gewoane ynterne tsjinsten plus de harker fan 'e binnenste poarte tastean, en neat oars. De binnenste poarte kin in rolclaim easkje en allinnich de behearadressen tastean dy't yn it feroaringsrekord neamd wurde. De applikaasje oan 'e fiere ein hâldt it lêste wurd oer hokker operaasjes dy rol útfiere mei, dus de keatling foeget in poarte ta sûnder de autorisaasje fan 'e applikaasje te ferfangen.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Twa weilitings brekke it ûntwerp stil. As it bûtenste domein al elke gefoelige bestimming direkt berikt, is de binnenste poarte opsjoneel yn stee fan ferplicht. As in iepenbiere harker of in twadde privee rûte deselde tagong biedt, is it bedoelde paad ien opsje ûnder ferskate. Wijs ek in eigner ta oan elke regelset, en lit har kontrakt bestimmings-tsjinsten, tastiene boarne-identiteiten, privee DNS, adresoersetting en wa't antwurdet as de oerdracht mislearret neame. In adres dat op it bûtenste netwurk fertroud is, mei nea it plak ynnimme fan 'e autorisaasje fan it binnenste domein.
Test de wegeringsgefallen, net it lokkige paad
In suksesfolle ferbining troch beide poarten bewiist hiel lyts, want dat is it gefal dat elkenien by de útrol testte. De nijsgjirrige gefallen binne dy wêryn't ien stap slagget en de oare wegeret. Trije dêrfan dekke it measte fan it risiko, en elk hat in ferwachte útkomst dy't kontrolearre wurde kin yn stee fan beäldere.
Mei algemiene tagong goedkard en de gefoelige rol ôfwêzich, moat gewoan wurk trochgean wylst de gefoelige bestimming wegere wurdt. Kar beide stappen goed en de berikbere set moat de ûnderhâldseinpunten wêze dy't yn it feroaringsrekord neamd wurde, neat breder. Mei it rjocht yn 'e midden fan in sesje yntrod, moat it ôfpraat sesjebelied fan krêft wurde sûnder ûnferbân hâldende algemiene tagong del te skuorren. Oft dy yntrekking in besteande sesje daliks of by de folgjende weryntegraasje einiget, is in beliedsbeslút dat it kontrakt al befetsje moatte soe. Wa't de akseptaasjegefallen skreaun hat, is net de persoan dy't se by in ynsidint ynterpretearje moatte soe.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Tel de ôfhinklikheden dy't jo tafoege hawwe
Elke ekstra stap foeget in komponint ta dat mislearje kin en in rûte dy't korrekt yn 'e bûtenste tunnel nêste moat. By in partiel mislearjen bliuwt it bûtenste paad oerein wylst it binnenste ûnberikber is, dus de brûker sjocht in sûn VPN-ikoan njonken in tsjinst dy't nea antwurdet.
Kontrolearje de rûtes en de blokkearregels by mislearjen yn stee fan allinnich yn it normale gefal. In standertrûte dy't troch de bûtenste tunnel skood wurdt, kin it eigen adres fan 'e binnenste poarte fange, wat de twadde stap feroaret yn in ferbining dy't him festiget en dan falt. Registrearje wat blokkearre bliuwe moat wylst de binnenste tunnel fuort is, want in tafallige weromfal deromhinne is slimmer as in skjinne ûnderbrekking. Brûk deselde probefoarm op beide hops, sadat elk metten wurdt yn stee fan oannommen. Twa ferbûne statusyndikatoaren fêstigje noch nêsting noch isolaasje.
Wat de twadde poarte jo net keapje kin
Freegje oft de twa poarten in leautiidsbewiis, in sertifikaasje-ynstânsje of in behearlak diele. Wêr't se dat dogge, diele se ek har wichtichste mislearringswizen, en de twadde stap kostet mear as de ûnôfhinklikens dy't it skynber tafoeget. Aparte kryptografyske sesjes meitsje gjin aparte bestjoerlike kontrôles.
Hâld de binnenste poarte wylst it in eask hanthavent dy't jo formulearje en testen kinne, lykas in rol dy't it bûtenste domein nea kontrolearret. Smyt it fuort as syn iennichste wurk is deselde identiteit tsjin deselde bestimmingen opnij te authentisearjen. Hoe dan ek, registrearje de eask, de eigner en it mislearringgedrach byinoar, sadat de folgjende beoardieling oer de eask stride yn stee fan oer it diagram.