Երկու VPN դարպաս հաջորդաբար. ինչ է իրականում որոշում յուրաքանչյուրը
Երկու VPN փուլ հաջորդաբար պետք է նշանակեն երկու առանձին թույլտվության որոշում։ Անվանեք, թե ինչ է ստուգում յուրաքանչյուր դարպասը, ապա փորձարկեք, թե ինչ է մերժում ներքինը։
Երկու VPN-ի շղթայացումը սովորաբար վաճառվում է որպես լրացուցիչ գաղտնագրում, ինչը նրա ամենաքիչ հետաքրքիր գործողությունն է։ Իրական արտադրանքը երկրորդ լիազորման որոշումն է, որը կայացնում է այլ սեփականատեր՝ այլ ռեսուրսների բազմության նկատմամբ։ Եթե երկու փուլերն էլ ընդունում են նույն հավատարմագիրը և հասնում նույն նպատակակետերին, ներքին դարպասը զարդարանք է՝ լրացուցիչ ուշացումով։ Որոշելը, թե արդյոք այդ երկրորդ որոշումն արժե իր գործառնական ծախսը, սկսվում է նրանից, թե ինչ է իրականում ստուգում յուրաքանչյուր դարպասը։
Մեկ թունել, ապա երկրորդ որոշում
Արտաքին դարպասը պատասխանում է լայն հարցի. արդյոք սա աշխատակցի հաստատված սարք է, և կարո՞ղ է հասնել ընդհանուր ներքին ցանցին։ Ներքին դարպասը պատասխանում է ավելի նեղ հարցի. արդյոք այս ինքնությունը կրում է սպասարկման իրավունքը, և կարո՞ղ է հասնել այս կոնկրետ կառավարման վերջնակետերին։ Սրանք տարբեր հարցեր են՝ տարբեր սեփականատերերով, և ոչ մեկը չի ենթադրում մյուսին։ Երկու փուլերով անցնող ուղու գոյությունը երկրորդի հետևում գտնվողն օգտագործելու լիազորություն չէ։ Հեռավոր մուտքին հասնելը ապացուցում է, որ ուղին աշխատում է, և ոչ ավելին։
Սկզբունքը հին է և դեռ անտեսվում է. ցանցային տեղը ինքնին ոչինչ չի փաստարկում։ NIST-ի զրոյական վստահության ճարտարապետության ամփոփումը դա հստակ ասում է՝ մերժելով այն ենթադրյալ վստահությունը, որ բխում է նրանից, թե որտեղից է եկել կապը կամ ով է ցանցի սեփականատերը։ Այստեղ կիրառված՝ ներքին մուտքին հասնելը նրա ռեսուրսների նախապայմանն է, երբեք՝ դրանք օգտագործելու թույլտվությունը։
Գրեք, թե ինչ է ստուգում յուրաքանչյուր դարպասը
Յուրաքանչյուր փուլի համար գրանցեք այն ինքնությունը, որը նա ստուգում է, այն նպատակակետերը, որոնք նա թույլատրում է, և այն պայմանները, որոնց դեպքում այն կարելի է բաց թողնել։ Արտաքին դարպասը կարող է օրինականորեն թույլատրել սովորական ներքին ծառայությունները գումարած ներքին դարպասի ընկալիչը, և ուրիշ ոչինչ։ Ներքին դարպասը կարող է պահանջել դերային պահանջ և թույլատրել միայն փոփոխության արձանագրությունում նշված կառավարման հասցեները։ Հեռավոր ծայրում գտնվող հավելվածը պահում է վերջին խոսքը, թե այդ դերը ինչ գործողություններ կարող է կատարել, ուստի շղթան ավելացնում է դարպաս՝ չփոխարինելով հավելվածի լիազորումը։
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Երկու բացթողում լուռ կոտրում են նախագիծը։ Եթե արտաքին տիրույթն արդեն ուղղակիորեն հասնում է յուրաքանչյուր զգայուն նպատակակետի, ներքին դարպասը պարտադիր չէ, այլ ընտրովի։ Եթե հանրային ընկալիչը կամ երկրորդ մասնավոր ուղին առաջարկում է նույն հասանելիությունը, նախատեսված ուղին մի քանի տարբերակներից մեկն է։ Նշանակեք սեփականատեր նաև յուրաքանչյուր կանոնների բազմությանը, և թող նրանց պայմանագիրը նշի նպատակակետ ծառայությունները, թույլատրված աղբյուր ինքնությունները, մասնավոր DNS-ը, հասցեների թարգմանությունը և թե ով է պատասխանում, երբ հանձնումը ձախողվում է։ Արտաքին ցանցում վստահելի հասցեն երբեք չպետք է փոխարինի ներքին տիրույթի լիազորմանը։
Փորձարկեք մերժման դեպքերը, ոչ թե երջանիկ ուղին
Երկու դարպասներով հաջող կապը շատ քիչ բան է ապացուցում, որովհետև դա այն դեպքն է, որը բոլորը փորձարկել են տեղակայման ընթացքում։ Հետաքրքիր դեպքերն այն են, երբ մի փուլն անցնում է, իսկ մյուսը մերժում։ Դրանցից երեքը ծածկում են ռիսկի մեծ մասը, և յուրաքանչյուրն ունի ակնկալվող արդյունք, որը կարելի է ստուգել, ոչ թե վիճել։
Ընդհանուր հասանելիությունը հաստատված և զգայուն դերը բացակայող պայմաններում սովորական աշխատանքը պետք է շարունակվի, մինչ զգայուն նպատակակետը մերժվում է։ Հաստատեք երկու փուլերն էլ, և հասանելի բազմությունը պետք է լինի փոփոխության արձանագրությունում նշված սպասարկման վերջնակետերը, ոչ ավելի լայն։ Եթե իրավունքը հետ է կանչվում նստաշրջանի կեսին, համաձայնեցված նստաշրջանի քաղաքականությունը պետք է ուժի մեջ մտնի՝ չքանդելով անկապ ընդհանուր հասանելիությունը։ Թե այդ հետկանչը դադարեցնում է գոյություն ունեցող նստաշրջանը անմիջապես, թե հաջորդ վերավավերացման ժամանակ, քաղաքականության որոշում է, որը պայմանագիրը պետք է արդեն պարունակի։ Ով գրել է ընդունման դեպքերը, այն մարդը չէ, ով պետք է դրանք մեկնաբանի միջադեպի ընթացքում։
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Հաշվեք ավելացված կախվածությունները
Յուրաքանչյուր լրացուցիչ փուլ ավելացնում է բաղադրիչ, որը կարող է ձախողվել, և ուղի, որը պետք է ճիշտ տեղադրվի արտաքին թունելի ներսում։ Մասնակի ձախողման ժամանակ արտաքին ուղին մնում է վերևում, մինչ ներքինը անհասանելի է, ուստի օգտվողը տեսնում է առողջ VPN պատկերակ այն ծառայության կողքին, որը երբեք չի պատասխանում։
Ստուգեք երթուղիները և արգելափակման կանոնները ձախողման պայմաններում, ոչ միայն սովորական դեպքում։ Արտաքին թունելի կողմից մղված լռելյայն երթուղին կարող է գրավել ներքին դարպասի սեփական հասցեն, ինչը երկրորդ փուլը վերածում է կապի, որը հաստատվում է, ապա ընկնում։ Գրանցեք, թե ինչ պետք է մնա արգելափակված, մինչ ներքին թունելը բացակայում է, որովհետև դրա շուրջ պատահական հետընթացը ավելի վատ է, քան մաքուր ընդհատումը։ Օգտագործեք նույն զոնդի ձևը երկու ցատկերում, որպեսզի յուրաքանչյուրը չափվի, ոչ թե ենթադրվի։ Երկու միացված կարգավիճակի ցուցիչներ չեն հաստատում ոչ տեղադրում, ոչ մեկուսացում։
Ինչ չի կարող գնել ձեզ համար երկրորդ դարպասը
Հարցրեք՝ արդյոք երկու դարպասները կիսում են հավատարմագիր, վկայագրերի մարմին կամ կառավարման հարթություն. Որտեղ կիսում են, այնտեղ կիսում են նաև իրենց ամենակարևոր ձախողման եղանակները, և երկրորդ փուլը ավելի թանկ է, քան այն անկախությունը, որը կարծես ավելացնում է։ Առանձին գաղտնագրային նստաշրջանները առանձին վարչական վերահսկողություն չեն ստեղծում։
Պահեք ներքին դարպասը, քանի դեռ այն պարտադրում է պահանջ, որը կարող եք ձևակերպել և փորձարկել, օրինակ՝ դեր, որը արտաքին տիրույթը երբեք չի ստուգում։ Հեռացրեք այն, երբ նրա միակ գործը նույն ինքնությունը նույն նպատակակետերի նկատմամբ վերավավերացնելն է։ Ամեն դեպքում, գրանցեք պահանջը, սեփականատիրոջը և ձախողման վարքը միասին, որպեսզի հաջորդ վերանայումը վիճի պահանջի, ոչ թե գծապատկերի շուրջ։