Dúas portas VPN en serie: que decide realmente cada unha
Dúas etapas VPN en serie deberían significar dúas decisións de permiso separadas. Nomea que comproba cada porta e despois proba que denega a interior.
Encadear dous VPN véndese normalmente como cifrado adicional, que é o menos interesante que fai. O produto real é unha segunda decisión de autorización, tomada por outro propietario sobre outro conxunto de recursos. Se ambas as etapas aceptan a mesma credencial e chegan aos mesmos destinos, a porta interior é decoración con latencia extra. Decidir se esa segunda decisión vale o seu custo operativo comeza por nomear que verifica realmente cada porta.
Un túnel, despois unha segunda decisión
A porta exterior responde a unha pregunta ampla: é este un dispositivo de empregado aprobado e pode chegar á rede interna xeral. A porta interior responde a unha máis estreita: leva esta identidade o dereito de mantemento e pode chegar a estes puntos finais de xestión concretos. Son preguntas distintas con propietarios distintos, e ningunha implica a outra. Que exista un camiño por ambas as etapas non é autoridade para usar o que está detrás da segunda. Chegar á entrada afastada demostra que unha ruta funciona, e nada máis.
O principio é vello e aínda se ignora: a localización na rede non argumenta nada por si mesma. Resumo da arquitectura de confianza cero do NIST dixo claramente, rexeitando a confianza implícita que se deriva de onde veu unha conexión ou de quen é dono da rede. Aplicado aquí, chegar á entrada interior é unha condición previa para os seus recursos, nunca o permiso para usalos.
Anota que verifica cada porta
Para cada etapa, rexistra a identidade que comproba, os destinos que permite e as condicións nas que se pode omitir. A porta exterior pode permitir lexitimamente servizos internos ordinarios máis o receptor da porta interior, e nada máis. A porta interior pode esixir unha declaración de rol e permitir só os enderezos de xestión nomeados no rexistro de cambios. A aplicación do extremo afastado conserva a última palabra sobre que operacións pode realizar ese rol, así que a cadea engade unha porta sen substituír a autorización da aplicación.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dúas omisións rompen o deseño en silencio. Se o dominio exterior xa chega directamente a cada destino sensible, a porta interior é opcional en lugar de obrigatoria. Se un receptor público ou unha segunda ruta privada ofrece o mesmo acceso, o camiño previsto é unha opción entre varias. Asigna tamén un propietario a cada conxunto de regras e fai que o seu contrato nomee os servizos de destino, as identidades de orixe permitidas, o DNS privado, a tradución de enderezos e quen responde cando falla a entrega. Un enderezo de confianza na rede exterior nunca debe substituír a autorización do dominio interior.
Proba os casos de denegación, non o camiño feliz
Unha conexión correcta por ambas as portas demostra moi pouco, porque ese é o caso que todos probaron durante o despregamento. Os casos interesantes son aqueles nos que unha etapa pasa e a outra rexeita. Tres deles cobren a maior parte do risco, e cada un ten un resultado esperado que se pode comprobar en lugar de discutir.
Co acceso xeral aprobado e o rol sensible ausente, o traballo ordinario debe continuar mentres se denega o destino sensible. Aproba ambas as etapas e o conxunto alcanzable debería ser os puntos finais de mantemento nomeados no rexistro de cambios, nada máis amplo. Co dereito revogado a metade de sesión, a política de sesión acordada debe entrar en vigor sen desmontar o acceso xeral non relacionado. Se esa revogación remata unha sesión existente de inmediato ou na seguinte reautenticación é unha decisión de política que o contrato xa debería conter. Quen escribiu os casos de aceptación non é a persoa que debería interpretalos durante un incidente.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Conta as dependencias que engadiches
Cada etapa extra engade un compoñente que pode fallar e unha ruta que debe aniñarse correctamente dentro do túnel exterior. Durante un fallo parcial, o camiño exterior mantense en pé mentres o interior é inalcanzable, así que o usuario ve unha icona de VPN saúdable xunto a un servizo que nunca responde.
Comproba as rutas e as regras de bloqueo baixo fallo, non só no caso normal. Unha ruta por defecto empurrada polo túnel exterior pode capturar o enderezo da propia porta interior, o que converte a segunda etapa nunha conexión que se establece e logo cae. Rexistra que debe permanecer bloqueado mentres o túnel interior non está, porque unha caída accidental ao seu redor é peor que unha interrupción limpa. Usa a mesma forma de sonda nos dous saltos, para que cada un se mida en lugar de supoñerse. Dous indicadores de conectado non establecen nin aniñamento nin illamento.
Que non che pode comprar a segunda porta
Pregunta se as dúas portas comparten unha credencial, unha autoridade de certificación ou un plano de xestión. Onde o fan, tamén comparten os seus modos de fallo máis importantes, e a segunda etapa custa máis que a independencia que parece engadir. Sesións criptográficas separadas non crean controis administrativos separados.
Mantén a porta interior mentres impoña un requisito que poidas enunciar e probar, como un rol que o dominio exterior nunca comproba. Elimínaa cando o seu único traballo sexa reautenticar a mesma identidade contra os mesmos destinos. En calquera caso, rexistra o requisito, o propietario e o comportamento ante fallos xuntos, para que a próxima revisión discuta o requisito e non o diagrama.