Always-on VPN. ուղին, թույլտվությունը և սեսիան առանձին
Մշտապես բաց թունելը կարող է ճիշտ լինել մասնաճյուղի համար և սխալ՝ մոռացված նոթբուքի համար։ Դիտարկեք այն երեք վիճակները, որոնք այն կենդանի է պահում, և թե ինչն է իրականում ավարտում հեռացումը։
Թունելը շուրջօրյա բաց պահելը դիզայնի որոշում է, որն ունի ողջամիտ տարբերակ և անփույթ տարբերակ։ Մասնաճյուղը, որը ողջ օրը կենտրոնական հավելվածի կարիք ունի, գումարած գիշերային պահուստավորման աշխատանք, պատճառ ունի։ Հյուրանոցի սենյակում երեք օր միացված մնացած նոթբուքը պատահար է։
Երկուսն էլ ցույց են տալիս նույն կանաչ նշանը, և երկուսն էլ նույն կերպ են պատասխանում, եթե հարցնեք, թե որքան ժամանակ է թունելը բաց։ Այդ թիվը հետաքրքիր չէ։ Կարևորն այն է, թե ինչն է կապը հասանելի պահում, ում համար և ինչն է այն իրականում ավարտում։
Երեք ժամացույց, որոնք առանձին են ընթանում
Առաջին վիճակը ուղին է։ Թունելը և նրա քաղաքականությունները ծառայությունների հավաքածուն հասանելի են դարձնում, և առանց երթևեկության կապը կարող է պատրաստ մնալ հաջորդ հարցման համար։ Որքան ժամանակ այն պատրաստ է մնում, իրականացման որոշում է, ոչ համընդհանուր ժամաչափ։
Երկրորդ վիճակը թույլտվությունն է։ Ընդունված ինքնությունը կամ սարքը կարող է լիազորված լինել օգտվելու այդ ուղուց։ Այդ լիազորությունը պետք է փոխվի, երբ փոխվում է դերը, սարքը կորչում է կամ կասկած կա ներխուժման, և այն կախված չէ նրանից՝ փաթեթները հոսո՞ւմ են, թե ոչ։
Երրորդ վիճակը հավելվածի սեփական սեսիան է։ Տվյալների բազայի հաճախորդը, հեռավոր աշխատասեղանը կամ վեբ հավելվածը առանձին են նույնականացնում և պահում իրենց վիճակը։ Թունելը փակելը պարտադիր չէ, որ ավարտի դրանցից ոչ մեկը։
Այս երեքը մեկ հարց համարող վերանայումը ավարտվում է անգործության ժամաչափերի շուրջ վեճով։ Երեքից յուրաքանչյուրը կարող է առողջ կամ կոտրված լինել ինքնուրույն, և մեկում գտնվածը քիչ է ասում մյուսների մասին։ Երեք տողով ստուգաթերթն ավելի լավ է, քան մեկ ժամկետի արժեքի մասին բանավեճը։ Գրեք պատասխանը յուրաքանչյուր վիճակի համար առանձին։
Թունելը ուղի է, ոչ կրծքանշան
Հաստատված թունելը ապացույց է, որ երկու ծայրերի միջև պաշտպանված ուղի կա։ Այն ապացույց չէ, որ ցանկացած ծայրի հետևում գտնվող յուրաքանչյուր գործընթաց պետք է հասնի մյուս կողմի յուրաքանչյուր ծառայությանը։
NIST-ի զրոյական վստահության ուղեցույցը նույնն է ասում հակառակ ուղղությամբ՝ ցանցային տեղը չպետք է համարել ենթադրյալ վստահություն։ Կայքի կապը տրանսպորտի փաստ է, և մեկ հոսթի՝ մեկ հավելված օգտագործելու թույլտվությունը առանձին որոշում է՝ իր սեփական տիրոջով։
Վարակված գործընկերը դեռ կարող է փորձել վնասակար գործողություններ այն ծառայությունների միջոցով, որոնց հասանելիություն ունի։ Զտումը և մոնիտորինգը նվազեցնում են որոշակի ռիսկերը՝ չջնջելով ծայրի վարակի հետևանքները։ Նախագծեք ուղու համար և լիազորեք ծառայության համար։
Մշտական կայքի կապի հիմնավորումը
Մշտապես բացի պաշտպանելի տարբերակը ճշգրիտ անվանում է իր նպատակը։ Որ աղբյուրները, որ նպատակակետերը, որ ուղղությունը և ով է յուրաքանչյուր գրառման տերը։ Մասնաճյուղի հրային պատը, որը թույլ է տալիս յուրաքանչյուր հոսթի հասնել յուրաքանչյուր կենտրոնական ենթացանցին, կապ չի պահել անվանված նպատակի համար. այն պահել է այն ամենի համար, ինչ ինչ-որ մեկը հետո կմտածի։
Այնտեղ, որտեղ գործընկերը չի կարող հասնել պահանջվող վստահության մակարդակին, նեղացրեք սահմանը կամ փոխեք դասավորությունը։ Հենվելը հազվադեպ ձեռքով անջատման վրա գործընթացային վերահսկողություն է, և գործընթացային վերահսկողությունները ամենաքիչ հուսալի են հենց այն ժամանակ, երբ միջադեպը դարձնում է դրանք անհարմար։
Պահեք հիմնավորումը կոնֆիգուրացիայի հետ։ Գրավոր նպատակով մշտական բացառությունը կարելի է վերանայել և հետ կանչել։ Առանց նպատակի բացառությունը լռելյայն դառնում է մշտական։
Բանալիների փոփոխությունը չեղարկում չէ
Բանալիները ժամանակացույցով փոխարինելը պահպանում է պաշտպանության կյանքի ցիկլը։ Այն թարմացնում է նյութը և պահպանում գաղտնիությունը։ Բայց չի վերացնում ծայրի իրավունքը։
Եթե ծայրը դեռ ունի վավեր հավատարմագրեր և ընդունող մուտքի քաղաքականություն, հաջորդ բանակցությունը վերականգնում է նույն թույլատրված ուղին։ Այդ պատճառով ամեն ժամ բանալիների պտտումը պատասխան չէ կորսված սարքին. կորսված սարքը նույնպես պտտվում է, քանի դեռ նրա ինքնությունը վստահելի է։ Ստուգեք իրավունքը ժամանակացույցից առաջ։ Պտտումը հիգիենա է, իսկ չեղարկումը մուտքի որոշում։
Չեղարկումը այլ մեխանիզմ է իր ուշացումով. չեղարկված վկայագիր, անջատված հաշիվ, փոփոխված խումբ, հեռացված ցանցային կանոն։ Յուրաքանչյուրը գործում է տարբեր պահի և տարբեր կերպ է վարվում արդեն հաստատված սեսիաների հետ։
Ավարտել այն, ինչ արդեն աշխատում է
Հարցրեք, թե ինչ է անում իրականացումը հաստատված սեսիաների հետ, երբ մուտքը հեռացվում է։ Այն կարող է ավարտել դրանք, սպասել ժամկետի լրանալուն կամ միջանկյալ փաստաթղթավորված վարք կիրառել։ Մի ենթադրեք, որ վաղվա ընդունելության փոփոխությունը կփակի այսօրվա հավելվածի կապը։
Ինտերակտիվ մուտքի համար սեսիայի սահմաններն ու անգործության կանոնները տվեք ինքնության և VPN-ի տերերին, ոչ միայն ցանցի թիմին։ Կայքի ծառայության համար սահմանեք այն ընթացակարգը, որով սպասարկումը, խափանումը կամ անվտանգության միջադեպն անջատում է մուտքը։
Ապա փորձարկեք երեք արդյունք. թույլատրված աշխատանքը դեռ աշխատում է, անկապ ծառայությունը մերժվում է, և հեռացման ընթացակարգը տալիս է փաստաթղթավորված արդյունքը։ Մշտապես բաց նախագիծը ընդունելի է, երբ նրա նպատակը, լիազորությունը և անջատելու կարողությունը գրված և փորձարկված են։ Հակառակ դեպքում դա հարմարավետություն է, որն ապրել է իր պատճառից ավելի։