שני שערי VPN ברצף: מה כל אחד באמת מחליט
שני שלבי VPN ברצף אמורים להיות שתי החלטות הרשאה נפרדות. תנו שם למה שכל שער בודק, ואז בדקו מה השער הפנימי מסרב.
שרשור שני VPN נמכר בדרך כלל כהצפנה נוספת, וזה הדבר הכי פחות מעניין שהוא עושה. המוצר האמיתי הוא החלטת הרשאה שנייה, שמתקבלת על ידי בעלים אחר מול קבוצת משאבים אחרת. אם שני השלבים מקבלים את אותו אישור ומגיעים לאותם יעדים, השער הפנימי הוא קישוט עם השהיה נוספת. ההחלטה אם ההחלטה השנייה שווה את עלות התפעול שלה מתחילה במתן שם למה שכל שער באמת מאמת.
מנהרה אחת, ואז החלטה שנייה
השער החיצוני עונה על שאלה רחבה: האם זה מכשיר עובד מאושר, והאם הוא רשאי להגיע לרשת הפנימית הכללית. השער הפנימי עונה על שאלה צרה יותר: האם לזהות הזו יש זכאות תחזוקה, והאם היא רשאית להגיע לנקודות הקצה הניהוליות המסוימות האלה. אלה שאלות שונות עם בעלים שונים, ואף אחת לא מחייבת את האחרת. קיומו של נתיב דרך שני השלבים אינו סמכות להשתמש במה שנמצא מאחורי השני. הגעה לכניסה הרחוקה מוכיחה שנתיב עובד, ולא יותר.
העיקרון ישן ועדיין מתעלמים ממנו: מיקום ברשת אינו טוען דבר בעצמו. תקציר ארכיטקטורת אפס אמון של NIST אומר זאת בבירור, ודוחה אמון משתמע הנובע ממהיכן הגיע חיבור או מי הבעלים של הרשת. כשמיישמים זאת כאן, ההגעה לכניסה הפנימית היא תנאי מוקדם למשאבים שלה, ולעולם לא ההרשאה להשתמש בהם.
רשמו מה כל שער מאמת
לכל שלב, תעדו את הזהות שהוא בודק, את היעדים שהוא מתיר ואת התנאים שבהם ניתן לדלג עליו. השער החיצוני רשאי באופן לגיטימי להתיר שירותים פנימיים רגילים בתוספת המאזין של השער הפנימי, ושום דבר אחר. השער הפנימי עשוי לדרוש תביעת תפקיד ולהתיר רק את כתובות הניהול הנקובות ברשומת השינוי. היישום בקצה הרחוק שומר את המילה האחרונה בשאלה אילו פעולות התפקיד הזה רשאי לבצע, כך שהשרשרת מוסיפה שער בלי להחליף את הרשאת היישום.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
שתי השמטות שוברות את התכנון בשקט. אם התחום החיצוני כבר מגיע ישירות לכל יעד רגיש, השער הפנימי הוא רשות ולא חובה. אם מאזין ציבורי או נתיב פרטי שני מציעים את אותה גישה, הנתיב המיועד הוא אפשרות אחת מבין כמה. הקצו בעלים גם לכל מערכת כללים, והניחו לחוזה שלהם למנות שירותי יעד, זהויות מקור מותרות, DNS פרטי, תרגום כתובות ומי עונה כשההעברה נכשלת. כתובת שנחשבת מהימנה ברשת החיצונית לא צריכה לעולם להחליף את ההרשאה של התחום הפנימי.
בדקו את מקרי הדחייה, לא את המסלול המאושר
חיבור מוצלח דרך שני השערים מוכיח מעט מאוד, כי זה המקרה שכולם בדקו במהלך הפריסה. המקרים המעניינים הם אלה שבהם שלב אחד עובר והשני מסרב. שלושה מהם מכסים את רוב הסיכון, ולכל אחד יש תוצאה צפויה שאפשר לבדוק ולא להתווכח עליה.
כשהגישה הכללית מאושרת והתפקיד הרגיש חסר, העבודה הרגילה חייבת להימשך בזמן שהיעד הרגיש נדחה. אשרו את שני השלבים והקבוצה הנגישה צריכה להיות נקודות הקצה לתחזוקה הנקובות ברשומת השינוי, ולא יותר רחב. כשהזכאות נשללת באמצע הפעלה, מדיניות ההפעלה המוסכמת חייבת להיכנס לתוקף בלי לפרק גישה כללית לא קשורה. אם שלילה זו מסיימת הפעלה קיימת מיד או באימות מחדש הבא היא החלטת מדיניות שהחוזה כבר אמור להכיל. מי שכתב את מקרי הקבלה אינו האדם שאמור לפרש אותם בזמן אירוע.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"ספרו את התלויות שהוספתם
כל שלב נוסף מוסיף רכיב שיכול להיכשל ונתיב שחייב להיות מקונן כראוי בתוך המנהרה החיצונית. בזמן כשל חלקי הנתיב החיצוני נשאר למעלה בעוד הפנימי אינו נגיש, כך שהמשתמש רואה סמל VPN בריא לצד שירות שלעולם אינו עונה.
בדקו את הנתיבים ואת כללי החסימה בזמן כשל ולא רק במקרה הרגיל. נתיב ברירת מחדל שנדחף על ידי המנהרה החיצונית יכול ללכוד את הכתובת של השער הפנימי עצמו, מה שהופך את השלב השני לחיבור שמתייצב ואז נופל. תעדו מה אמור להישאר חסום כשהמנהרה הפנימית איננה, כי נפילה מקרית סביבה גרועה מהפסקה נקייה. השתמשו באותה צורת בדיקה בשני הדילוגים, כדי שכל אחד יימדד ולא יונח. שני מחווני סטטוס מחוברים אינם קובעים לא קינון ולא בידוד.
מה השער השני לא יכול לקנות לכם
שאלו אם שני השערים חולקים אישור, רשות אישורים או מישור ניהול. במקום שהם חולקים, הם חולקים גם את מצבי הכשל החשובים ביותר שלהם, והשלב השני עולה יותר מהעצמאות שהוא לכאורה מוסיף. הפעלות קריפטוגרפיות נפרדות אינן יוצרות בקרות ניהוליות נפרדות.
השאירו את השער הפנימי כל עוד הוא אוכף דרישה שאתם יכולים לנסח ולבדוק, כמו תפקיד שהתחום החיצוני לעולם אינו בודק. הסירו אותו כשתפקידו היחיד הוא לאמת מחדש את אותה זהות מול אותם יעדים. כך או כך, תעדו את הדרישה, הבעלים והתנהגות הכשל יחד, כדי שהסקירה הבאה תתמודד עם הדרישה ולא עם התרשים.