શ્રેણીમાં બે VPN દરવાજા: દરેક ખરેખર શું નક્કી કરે છે
શ્રેણીમાં બે VPN તબક્કાનો અર્થ બે અલગ પરવાનગી નિર્ણયો હોવા જોઈએ. દરેક દરવાજો શું તપાસે છે તે નામ આપો, પછી આંતરિક દરવાજો શું નકારે છે તે ચકાસો.
બે VPN ને સાંકળવાનું સામાન્ય રીતે વધારાના એન્ક્રિપ્શન તરીકે વેચાય છે, જે તે કરે છે તે સૌથી ઓછું રસપ્રદ કામ છે. ખરું ઉત્પાદન એ બીજો અધિકૃતિ નિર્ણય છે, જે અલગ માલિક દ્વારા અલગ સંસાધન સમૂહ સામે લેવાય છે. જો બંને તબક્કા સમાન ઓળખપત્ર સ્વીકારે અને સમાન ગંતવ્યો સુધી પહોંચે, તો આંતરિક દરવાજો વધારાના વિલંબ સાથેનું શણગાર છે. તે બીજો નિર્ણય તેના ઓપરેશનલ ખર્ચને લાયક છે કે નહીં તે નક્કી કરવાનું દરેક દરવાજો ખરેખર શું ચકાસે છે તે નામ આપવાથી શરૂ થાય છે.
એક ટનલ, પછી બીજો નિર્ણય
બાહ્ય દરવાજો એક વ્યાપક પ્રશ્નનો જવાબ આપે છે: શું આ મંજૂર કર્મચારી ઉપકરણ છે, અને શું તે સામાન્ય આંતરિક નેટવર્ક સુધી પહોંચી શકે છે. આંતરિક દરવાજો વધુ સાંકડા પ્રશ્નનો જવાબ આપે છે: શું આ ઓળખ પાસે જાળવણી હક છે, અને શું તે આ ચોક્કસ વ્યવસ્થાપન એન્ડપોઇન્ટ સુધી પહોંચી શકે છે. આ અલગ માલિકો સાથેના અલગ પ્રશ્નો છે, અને એક પણ બીજાને સૂચવતું નથી. બંને તબક્કામાંથી પસાર થતો માર્ગ હોવો એ બીજાની પાછળ જે છે તેનો ઉપયોગ કરવાની સત્તા નથી. દૂરના પ્રવેશ સુધી પહોંચવું સાબિત કરે છે કે માર્ગ કામ કરે છે, અને વધુ કંઈ નહીં.
સિદ્ધાંત જૂનો છે અને હજી અવગણવામાં આવે છે: નેટવર્ક સ્થાન પોતાના દમ પર કંઈ પુરવાર કરતું નથી. NIST ની શૂન્ય-વિશ્વાસ આર્કિટેક્ચર સારાંશ તે સ્પષ્ટ કહે છે, અને જોડાણ ક્યાંથી આવ્યું અથવા નેટવર્ક કોનું છે તેના પરથી ઉદ્ભવતા ગર્ભિત વિશ્વાસને નકારે છે. અહીં લાગુ કરવામાં આવે ત્યારે, આંતરિક પ્રવેશ સુધી પહોંચવું તેના સંસાધનો માટે પૂર્વશરત છે, તેનો ઉપયોગ કરવાની પરવાનગી ક્યારેય નહીં.
દરેક દરવાજો શું ચકાસે છે તે લખો
દરેક તબક્કા માટે, તે જે ઓળખ તપાસે છે, જે ગંતવ્યોની પરવાનગી આપે છે અને જે શરતો હેઠળ તેને છોડી શકાય છે તે રેકોર્ડ કરો. બાહ્ય દરવાજો કાયદેસર રીતે સામાન્ય આંતરિક સેવાઓ ઉપરાંત આંતરિક દરવાજાના શ્રોતાને પરવાનગી આપી શકે છે, અને બીજું કંઈ નહીં. આંતરિક દરવાજો ભૂમિકા દાવાની માંગ કરી શકે છે અને ફેરફાર રેકોર્ડમાં નામ આપેલા વ્યવસ્થાપન સરનામાંઓની જ પરવાનગી આપી શકે છે. દૂરના છેડેની એપ્લિકેશન તે ભૂમિકા કઈ ક્રિયાઓ કરી શકે તે અંગે અંતિમ શબ્દ રાખે છે, તેથી સાંકળ એપ્લિકેશન અધિકૃતિને બદલ્યા વિના એક દરવાજો ઉમેરે છે.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
બે અવગણનાઓ ડિઝાઇનને શાંતિથી તોડે છે. જો બાહ્ય ડોમેન પહેલેથી જ દરેક સંવેદનશીલ ગંતવ્ય સુધી સીધું પહોંચે છે, તો આંતરિક દરવાજો ફરજિયાત નહીં પણ વૈકલ્પિક છે. જો જાહેર શ્રોતા અથવા બીજો ખાનગી માર્ગ સમાન પ્રવેશ આપે છે, તો ઇચ્છિત માર્ગ ઘણા વિકલ્પોમાંનો એક છે. દરેક નિયમ સમૂહને માલિક પણ નિયુક્ત કરો, અને તેમના કરારમાં ગંતવ્ય સેવાઓ, મંજૂર સ્રોત ઓળખ, ખાનગી DNS, સરનામા અનુવાદ અને હેન્ડઓફ નિષ્ફળ થાય ત્યારે કોણ જવાબ આપે તે નામ આપવા દો. બાહ્ય નેટવર્કમાં વિશ્વસનીય સરનામું ક્યારેય આંતરિક ડોમેનની અધિકૃતિનું સ્થાન લઈ શકે નહીં.
નકારના કિસ્સાઓ ચકાસો, સુખી માર્ગ નહીં
બંને દરવાજામાંથી સફળ જોડાણ ખૂબ ઓછું સાબિત કરે છે, કારણ કે તે એ કિસ્સો છે જે દરેકે રોલઆઉટ દરમિયાન ચકાસ્યો હતો. રસપ્રદ કિસ્સાઓ એ છે જ્યાં એક તબક્કો પસાર થાય છે અને બીજો નકારે છે. તેમાંથી ત્રણ મોટાભાગનું જોખમ આવરી લે છે, અને દરેકનું અપેક્ષિત પરિણામ છે જે ચર્ચાને બદલે ચકાસી શકાય છે.
સામાન્ય પ્રવેશ મંજૂર અને સંવેદનશીલ ભૂમિકા ગેરહાજર હોય ત્યારે, સંવેદનશીલ ગંતવ્ય નકારવામાં આવે ત્યારે સામાન્ય કામ ચાલુ રહેવું જોઈએ. બંને તબક્કા મંજૂર કરો અને પહોંચી શકાય તેવો સમૂહ ફેરફાર રેકોર્ડમાં નામ આપેલા જાળવણી એન્ડપોઇન્ટ હોવો જોઈએ, તેનાથી વિશાળ નહીં. સત્રની વચ્ચે હક રદ થાય તો, સંમત સત્ર નીતિ અસંબંધિત સામાન્ય પ્રવેશને તોડ્યા વિના અમલમાં આવવી જોઈએ. તે રદ કરવું હાલના સત્રને તરત જ સમાપ્ત કરે છે કે આગલી પુનઃપ્રમાણીકરણમાં, તે નીતિ નિર્ણય છે જે કરારમાં પહેલેથી જ હોવો જોઈએ. જેણે સ્વીકૃતિ કિસ્સાઓ લખ્યા છે તે વ્યક્તિ ઘટનાના સમયે તેમને અર્થઘટન કરવાની વ્યક્તિ નથી.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"તમે ઉમેરેલા આધારોની ગણતરી કરો
દરેક વધારાનો તબક્કો એક ઘટક ઉમેરે છે જે નિષ્ફળ થઈ શકે છે અને એક માર્ગ જે બાહ્ય ટનલની અંદર યોગ્ય રીતે નેસ્ટ થવો જોઈએ. આંશિક નિષ્ફળતા દરમિયાન બાહ્ય માર્ગ ચાલુ રહે છે જ્યારે આંતરિક માર્ગ અગમ્ય હોય છે, તેથી વપરાશકર્તા ક્યારેય જવાબ ન આપતી સેવાની બાજુમાં સ્વસ્થ VPN આઇકન જુએ છે.
માત્ર સામાન્ય કિસ્સામાં જ નહીં, નિષ્ફળતા હેઠળ માર્ગો અને અવરોધ નિયમો ચકાસો. બાહ્ય ટનલ દ્વારા ધકેલાયેલો ડિફોલ્ટ માર્ગ આંતરિક દરવાજાનું પોતાનું સરનામું પકડી શકે છે, જે બીજા તબક્કાને સ્થપાય અને પછી પડી જાય તેવા જોડાણમાં ફેરવે છે. આંતરિક ટનલ ગેરહાજર હોય ત્યારે શું અવરોધિત રહેવું જોઈએ તે રેકોર્ડ કરો, કારણ કે તેની આસપાસ આકસ્મિક ફોલબેક સ્વચ્છ વિક્ષેપ કરતાં ખરાબ છે. બંને હોપ પર સમાન પ્રોબ આકાર વાપરો, જેથી દરેક ધારવાને બદલે માપવામાં આવે. બે જોડાયેલ સ્થિતિ સૂચકાંકો ન તો નેસ્ટિંગ સ્થાપિત કરે છે ન તો અલગતા.
બીજો દરવાજો તમારા માટે શું ખરીદી શકતો નથી
પૂછો કે શું બે દરવાજા એક ઓળખપત્ર, એક પ્રમાણપત્ર સત્તાધિકારી અથવા એક વ્યવસ્થાપન પ્લેન વહેંચે છે. જ્યાં વહેંચે છે, ત્યાં તેઓ તેમના સૌથી મહત્વપૂર્ણ નિષ્ફળતા મોડ પણ વહેંચે છે, અને બીજો તબક્કો તે દેખાતી સ્વતંત્રતા કરતાં વધુ ખર્ચ કરે છે. અલગ ક્રિપ્ટોગ્રાફિક સત્રો અલગ વહીવટી નિયંત્રણો બનાવતા નથી.
આંતરિક દરવાજો રાખો જ્યાં સુધી તે એવી આવશ્યકતા લાગુ કરે છે જે તમે કહી અને ચકાસી શકો, જેમ કે એવી ભૂમિકા જે બાહ્ય ડોમેન ક્યારેય તપાસતું નથી. તેને દૂર કરો જ્યારે તેનું એકમાત્ર કામ સમાન ઓળખને સમાન ગંતવ્યો સામે ફરી પ્રમાણિત કરવાનું હોય. કોઈપણ રીતે, આવશ્યકતા, માલિક અને નિષ્ફળતા વર્તન એકસાથે રેકોર્ડ કરો, જેથી આગલી સમીક્ષા રેખાકૃતિ વિશે નહીં પણ આવશ્યકતા વિશે દલીલ કરે.