Dva VPN prolaza u nizu: šta svaki zapravo odlučuje
Dvije VPN faze u nizu treba da znače dvije odvojene odluke o dozvoli. Imenujte šta svaki prolaz provjerava, pa testirajte šta unutrašnji odbija.
Lančano povezivanje dva VPN-a obično se prodaje kao dodatno šifrovanje, što je najmanje zanimljiva stvar koju radi. Pravi proizvod je druga odluka o autorizaciji, koju donosi drugi vlasnik nad drugim skupom resursa. Ako obje faze prihvataju isto uvjerenje i stižu do istih odredišta, unutrašnji prolaz je ukras s dodatnim kašnjenjem. Odluka o tome da li ta druga odluka vrijedi svoj operativni trošak počinje imenovanjem onoga što svaki prolaz zapravo provjerava.
Jedan tunel, pa druga odluka
Vanjski prolaz odgovara na široko pitanje: da li je ovo odobreni uređaj zaposlenika i smije li doći do opće interne mreže. Unutrašnji prolaz odgovara na uže: nosi li taj identitet pravo na održavanje i smije li doći do ovih konkretnih upravljačkih krajnjih tačaka. To su različita pitanja s različitim vlasnicima i nijedno ne podrazumijeva drugo. Postojanje puta kroz obje faze nije ovlaštenje da se koristi ono što stoji iza druge. Stizanje do dalekog ulaza dokazuje da ruta radi, i ništa više.
Princip je star i još se ignorira: mrežna lokacija sama po sebi ništa ne dokazuje. Sažetak NIST arhitekture nultog povjerenja to kaže jasno, odbijajući implicitno povjerenje koje slijedi iz toga odakle veza dolazi ili kome pripada mreža. Primijenjeno ovdje, dolazak do unutrašnjeg ulaza je preduvjet za njegove resurse, nikada dozvola da se koriste.
Zapišite šta svaki prolaz provjerava
Za svaku fazu zabilježite identitet koji provjerava, odredišta koja dopušta i uslove pod kojima se može preskočiti. Vanjski prolaz može legitimno dopustiti obične interne servise plus slušalicu unutrašnjeg prolaza, i ništa drugo. Unutrašnji prolaz može zahtijevati tvrdnju o ulozi i dopuštati samo upravljačke adrese navedene u zapisu o promjeni. Aplikacija na dalekom kraju zadržava posljednju riječ o tome koje operacije ta uloga smije izvoditi, pa lanac dodaje prolaz bez zamjene autorizacije aplikacije.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dva propusta tiho kvare dizajn. Ako vanjska domena već direktno stiže do svakog osjetljivog odredišta, unutrašnji prolaz je opcionalan, a ne obavezan. Ako javna slušalica ili druga privatna ruta nudi isti pristup, predviđeni put je jedna opcija među nekoliko. Dodijelite vlasnika i svakom skupu pravila i neka njihov ugovor imenuje odredišne servise, dopuštene izvorne identitete, privatni DNS, prevođenje adresa i ko odgovara kada predaja ne uspije. Adresa kojoj se vjeruje na vanjskoj mreži nikada ne smije zamijeniti autorizaciju unutrašnje domene.
Testirajte slučajeve odbijanja, a ne sretni put
Uspješna veza kroz oba prolaza dokazuje vrlo malo, jer je to slučaj koji su svi testirali tokom uvođenja. Zanimljivi su slučajevi u kojima jedna faza prolazi, a druga odbija. Tri od njih pokrivaju većinu rizika i svaki ima očekivani ishod koji se može provjeriti, a ne raspravljati.
Uz odobren opći pristup i odsutnu osjetljivu ulogu, običan rad mora se nastaviti dok se osjetljivo odredište odbija. Odobrite obje faze i dostupni skup treba da budu krajnje tačke održavanja navedene u zapisu o promjeni, ništa šire. Ako se pravo opozove usred sesije, dogovorena politika sesije mora stupiti na snagu bez kidanja nepovezanog općeg pristupa. Da li to opoziv prekida postojeću sesiju odmah ili pri sljedećoj ponovnoj autentifikaciji, politička je odluka koju ugovor već treba da sadrži. Onaj ko je napisao kriterije prihvatanja nije osoba koja ih treba tumačiti tokom incidenta.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Prebrojte zavisnosti koje ste dodali
Svaka dodatna faza dodaje komponentu koja može otkazati i rutu koja se mora ispravno ugnijezditi u vanjski tunel. Tokom djelimičnog kvara vanjski put ostaje gore dok je unutrašnji nedostupan, pa korisnik vidi zdravu VPN ikonu pored servisa koji nikada ne odgovara.
Provjerite rute i pravila blokiranja pri kvaru, a ne samo u normalnom slučaju. Zadana ruta koju gura vanjski tunel može uhvatiti vlastitu adresu unutrašnjeg prolaza, što drugu fazu pretvara u vezu koja se uspostavi i zatim padne. Zabilježite šta treba da ostane blokirano dok unutrašnjeg tunela nema, jer je slučajni povratak oko njega gori od čistog prekida. Koristite isti oblik provjere na oba skoka, da se svaki mjeri, a ne pretpostavlja. Dva indikatora povezanosti ne uspostavljaju ni ugnježđivanje ni izolaciju.
Šta vam drugi prolaz ne može kupiti
Pitajte dijele li dva prolaza uvjerenje, certifikacijsko tijelo ili upravljačku ravan. Gdje dijele, dijele i svoje najvažnije načine kvara, a druga faza košta više od nezavisnosti koju naizgled dodaje. Odvojene kriptografske sesije ne stvaraju odvojene administrativne kontrole.
Zadržite unutrašnji prolaz dok provodi zahtjev koji možete navesti i testirati, poput uloge koju vanjska domena nikada ne provjerava. Uklonite ga kada mu je jedini posao ponovno autentificirati isti identitet prema istim odredištima. U svakom slučaju, zabilježite zahtjev, vlasnika i ponašanje pri kvaru zajedno, da sljedeći pregled raspravlja o zahtjevu, a ne o dijagramu.