Ընդունման ստուգումներ վիրտուալ VPN դարպասի համար՝ երկգործոն նույնականացմամբ
Ապացուցեք դարպասը փուլ առ փուլ՝ գրանցում, մուտք, մերժում, չեղարկում և վերականգնում, յուրաքանչյուրը փաստաթղթով և նախքան փորձարկումը գրված հանձնման պայմանով։
Մատակարարները նկարագրում են այս սարքը որպես վիրտուալ և երկգործոն ունակ, և այդ երկու բառերից ոչ մեկը չի պատասխանում գնումը որոշող հարցերին։ Թե որ հիպերվիզորի պատկերն է աջակցվում, թե որ հաճախորդները կարող են գրանցվել, թե ինչ է իրականում ապացուցում երկրորդ գործոնը և թե ինչ է լինում, երբ ինքնության մատակարարը խափանվում է, դեռ բաց են։ Դարձրեք դրանք ընդունման փուլեր, որոնք կարող եք անցկացնել փորձնական վարժանքում, և որոշումը կդադարի կախված լինել նրանից, թե որքան համոզիչ է տվյալների թերթը։ Ստորև բերված թերթը այդ ապացույցների կառուցվածքն է, ոչ թե ապրանքների դասակարգում։
Ինչ պետք է հաստատի մատակարարը այս տեղակայման մասին
Սկսեք տեղակայումը մեկ էջի մեջ սեղմելով՝ հիպերվիզորը կամ ամպը, հյուրի ճարտարապետությունը, աջակցվող պատկերը և այն ինտերֆեյսները, որոնք սարքը սպասում է։ Ավելացրեք օգտատերերին իրենց օպերացիոն համակարգերով, թե արդյոք սարքերը կառավարվում են, և թե ինչպես պետք է աշխատեն գրանցումն ու մուտքը։ Ապա մասնավոր հասանելիությունը՝ հավելվածներ և նախածանցեր, DNS կարգավորում, վերադարձի ուղիներ, և թե արդյոք հանրային ինտերնետ ելքը առաջարկի մաս է։
Շահագործումը նույն էջին է պատկանում՝ ով է պահպանում սարքը, որտեղից են գալիս թարմացումները, ուր են գնում մատյանները, ինչպես է պաշտպանվում կարգավորումը, և ինչ վերականգնման նպատակ է բիզնեսը իրականում համաձայնեցրել։ Խնդրեք մատակարարին հաստատել հենց այդ համադրությունը, այլ ոչ թե այն, որ ծրագիրը աշխատում է վիրտուալ մեքենայում։ Տեսանելի պահեք արտաքին կախվածությունները, ինչպիսիք են ինքնության մատակարարը կամ լիցենզավորման ծառայությունը, քանի որ դրանք տեղակայման մասն են՝ անկախ նրանից, թե դրա հետ են մատակարարվում, թե ոչ։ Առանց անվանված կախվածության տեղակայման էջը սովորաբար անհայտ կախվածությամբ տեղակայման էջ է։
Ապացուցեք, որ երկրորդ գործոնը երկրորդ գործոն է
Անվանեք նույնականացուցիչը և ստուգման հոսքը և ասեք, թե յուրաքանչյուր քայլ ինչ ինքնություն է հաստատում։ Երկու հաջորդական գաղտնաբառի հարցում երկրորդ գործոն չէ, իսկ գաղտնաբառ գումարած մեկանգամյա կոդը տարբերվող պնդում է՝ ծառայությանը կապված գաղտնագրային նույնականացուցիչի համեմատ։ Գրեք այն հոսքը, որը գնում եք, ոչ թե տուփի պիտակը։
Ֆիշինգի դիմադրությունը առանձին հատկություն է, և NIST-ի ուղեցույցը նույնականացուցիչների վերաբերյալ այն դիտարկում է հենց այդպես՝ կոդը, որը օգտատերը կարող է խաբվելու միջոցով փոխանցել, դեռ բավարարում է բազմագործոն նույնականացումը, բայց ձախողում է այդ լրացուցիչ պայմանը։ Պահանջեք հատկությունը բացահայտ, եթե այն ձեզ համար կարևոր է։ Ապա պահանջեք ցուցադրում այն հաճախորդի տեսակից, որը ձեր օգտատերերն իսկապես օգտագործում են՝ ներառյալ գրանցումը, մերժված կամ ժամկետանց մարտահրավերը, կորցրած նույնականացուցիչից հետո վերականգնումը և մեկ օգտատիրոջ չեղարկումը, մինչ մյուսները մնում են միացված։ Դարպասի ինքնության ստուգումը պահեք շրջանակում, քանի որ ցանկացած դարպասի վստահող հաճախորդը տեղափոխել է խնդիրը, ոչ թե լուծել այն։
Գրեք հանձնման պայմանը նախքան ինչ-որ բան կոտրելը
Ստորև բերված աղյուսակը թերթի այն մասն է, որը դիմանում է մատակարարի հետ շփմանը, քանի որ ամեն տող պահանջում է փաստաթուղթ՝ երաշխիքի փոխարեն։ Լրացրեք հանձնման պայմանը նախքան վարժանքը և առանց ապացույցի տողը համարեք ձախողված տող։ Հինգ փուլ ընդգրկում է այն, ինչ դարպասը պետք է անի։
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Գրանցումն առաջինն է, քանի որ դրանից է կախված ամեն հաջորդ բան՝ սարքը, որը չի կարող գրանցվել, հնարավոր չէ փորձարկել։ Մուտքը գրանցումից առանձին փուլ է, իսկ մերժումը այն փուլն է, որը մոռացվում է թերթերի մեծ մասում, քանի որ բոլորին ներս թողնող դարպասը չի ապացուցել, որ որևէ մեկին մերժում է։ Չեղարկումը և վերականգնումը կրում են գործառնական ռիսկի մեծ մասը, և երկուսն էլ էժան են կրկնօրինակի վրա փորձարկելու համար։
Փորձեք կրկնօրինակի վրա, ոչ թե աշխատող դարպասի
Անցկացրեք խափանող փուլերը հարթակի կրկնօրինակի վրա՝ հետևելով աջակցվող տեղակայման ընթացակարգին, և պահեք ամեն ապացույց իր ամսաթվով և կարգավորման տարբերակով։ Վերագործարկման տողին չի պատասխանում կոնսոլից վերագործարկումը, իսկ վերականգնման տողին՝ կարգավորման արտահանումը։ Նշեք, թե որ վիճակն է ինքն իրեն վերադառնում և ինչ պետք է նորից միանա, քանի որ հենց այդ տարբերությունն է ժառանգում շահագործման թիմը։ Վարժանքը նաև միակ հնարավորությունն է չափել վերականգնումը՝ առանց ընդհատումը բացատրելու։
Գրանցեք ինքնության մատակարարի վիճակը յուրաքանչյուր փորձարկման պահին, քանի որ առողջ մատակարարի դեմ փորձարկված խափանման տողը ապացուցում է հակառակը այն բանի, ինչ պնդում է թերթը։ Միևնույն վարժանքում երկու գրախոս բռնում են տարբեր բաներ, և երկրորդը սովորաբար գտնում է այն տողը, որի ապացույցը վահանակի էկրանի պատկեր է։ Պահեք այդ ապացույցը կցված այն տողին, որին պատկանում է, ոչ թե նախագծի անունով թղթապանակում։
Չափեք այն ծանրաբեռնվածությունը, որը ձեր թիմը կկատարի
Համաձայնեցեք սովորական շաբաթ հիշեցնող ծանրաբեռնվածության շուրջ, ապա չափեք այն այնտեղ, որտեղ մտադիր եք տեղակայել՝ զուգահեռականություն, երթևեկության խառնուրդ և սպասարկման պատուհան, որն իրականում ունի թիմը։ Հայտարարված թողունակության թիվը նկարագրում է լաբորատոր պայման և ոչինչ չի ասում ձեր օգտատերերի մասին։ Չափեք վերականգնումը վերականգնման նպատակի համեմատ, ոչ թե ծրագրի։
Թերթը ավարտված է, երբ ամեն փուլ ունի փաստաթուղթ, և ամեն փաստաթուղթ ունի ամսաթիվ։ Սարքը, որը ինչ-որ մեկը պահպանում է՝ ամեն տողի համար ապացույցով, այլ գնում է, քան նշված վանդակների ամենաերկար ցանկը։