Dua gerbang VPN berurutan: apa yang sebenarnya diputuskan masing-masing
Dua tahap VPN berurutan seharusnya berarti dua keputusan izin yang terpisah. Sebutkan apa yang diperiksa setiap gerbang, lalu uji apa yang ditolak gerbang dalam.
Merangkai dua VPN biasanya dijual sebagai enkripsi tambahan, padahal itu hal paling tidak menarik yang dilakukannya. Produk sebenarnya adalah keputusan otorisasi kedua, yang diambil oleh pemilik berbeda atas kumpulan sumber daya berbeda. Jika kedua tahap menerima kredensial yang sama dan mencapai tujuan yang sama, gerbang dalam hanyalah hiasan dengan latensi tambahan. Memutuskan apakah keputusan kedua itu sepadan dengan biaya operasionalnya dimulai dengan menyebutkan apa yang sebenarnya diverifikasi setiap gerbang.
Satu terowongan, lalu keputusan kedua
Gerbang luar menjawab pertanyaan luas: apakah ini perangkat karyawan yang disetujui, dan bolehkah ia mencapai jaringan internal umum. Gerbang dalam menjawab pertanyaan yang lebih sempit: apakah identitas ini membawa hak pemeliharaan, dan bolehkah ia mencapai titik akhir manajemen tertentu ini. Itu pertanyaan berbeda dengan pemilik berbeda, dan tidak satu pun menyiratkan yang lain. Adanya jalur melalui kedua tahap bukanlah wewenang untuk menggunakan apa yang ada di balik yang kedua. Mencapai pintu masuk jauh membuktikan bahwa suatu rute berfungsi, dan tidak lebih.
Prinsipnya lama dan masih diabaikan: lokasi jaringan tidak membuktikan apa pun dengan sendirinya. Ringkasan arsitektur zero trust NIST mengatakannya dengan jelas, menolak kepercayaan implisit yang mengikuti dari asal koneksi atau siapa pemilik jaringan. Diterapkan di sini, tiba di pintu masuk dalam adalah prasyarat untuk sumber dayanya, tidak pernah izin untuk menggunakannya.
Tuliskan apa yang diverifikasi setiap gerbang
Untuk setiap tahap, catat identitas yang diperiksa, tujuan yang diizinkan, dan kondisi saat gerbang itu dapat dilewati. Gerbang luar dapat secara sah mengizinkan layanan internal biasa plus listener gerbang dalam, dan tidak lebih. Gerbang dalam dapat meminta klaim peran dan hanya mengizinkan alamat manajemen yang disebutkan dalam catatan perubahan. Aplikasi di ujung jauh memegang kata terakhir tentang operasi apa yang boleh dilakukan peran itu, sehingga rantai menambah gerbang tanpa menggantikan otorisasi aplikasi.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dua kelalaian merusak desain secara diam-diam. Jika domain luar sudah mencapai setiap tujuan sensitif secara langsung, gerbang dalam bersifat opsional, bukan wajib. Jika listener publik atau rute privat kedua menawarkan akses yang sama, jalur yang dimaksud hanyalah satu opsi di antara beberapa. Tetapkan juga pemilik untuk setiap kumpulan aturan, dan biarkan kontrak mereka menyebutkan layanan tujuan, identitas sumber yang diizinkan, DNS privat, penerjemahan alamat, dan siapa yang menjawab saat penyerahan gagal. Alamat yang dipercaya di jaringan luar tidak boleh pernah menggantikan otorisasi domain dalam.
Uji kasus penolakan, bukan jalur bahagia
Koneksi yang berhasil melalui kedua gerbang membuktikan sangat sedikit, karena itulah kasus yang diuji semua orang saat peluncuran. Kasus yang menarik adalah saat satu tahap lolos dan yang lain menolak. Tiga di antaranya mencakup sebagian besar risiko, dan masing-masing memiliki hasil yang diharapkan yang dapat diperiksa alih-alih diperdebatkan.
Dengan akses umum disetujui dan peran sensitif tidak ada, pekerjaan biasa harus berlanjut sementara tujuan sensitif ditolak. Setujui kedua tahap dan kumpulan yang dapat dijangkau haruslah titik akhir pemeliharaan yang disebutkan dalam catatan perubahan, tidak lebih luas. Dengan hak dicabut di tengah sesi, kebijakan sesi yang disepakati harus berlaku tanpa merobohkan akses umum yang tidak terkait. Apakah pencabutan itu mengakhiri sesi yang ada segera atau pada autentikasi ulang berikutnya adalah keputusan kebijakan yang seharusnya sudah ada dalam kontrak. Orang yang menulis kasus penerimaan bukanlah orang yang seharusnya menafsirkannya saat insiden.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Hitung dependensi yang Anda tambahkan
Setiap tahap tambahan menambah komponen yang dapat gagal dan rute yang harus bersarang dengan benar di dalam terowongan luar. Selama kegagalan sebagian, jalur luar tetap hidup sementara jalur dalam tidak terjangkau, sehingga pengguna melihat ikon VPN yang sehat di samping layanan yang tidak pernah menjawab.
Periksa rute dan aturan pemblokiran saat gagal, bukan hanya pada kasus normal. Rute default yang didorong oleh terowongan luar dapat menangkap alamat gerbang dalam itu sendiri, yang mengubah tahap kedua menjadi koneksi yang terbentuk lalu putus. Catat apa yang seharusnya tetap diblokir saat terowongan dalam tidak ada, karena fallback tak sengaja di sekitarnya lebih buruk daripada gangguan bersih. Gunakan bentuk probe yang sama pada kedua lompatan, agar masing-masing diukur alih-alih diasumsikan. Dua indikator status terhubung tidak menetapkan penyarangan maupun isolasi.
Apa yang tidak bisa dibeli gerbang kedua untuk Anda
Tanyakan apakah kedua gerbang berbagi kredensial, otoritas sertifikat, atau bidang manajemen. Jika ya, keduanya juga berbagi mode kegagalan terpentingnya, dan tahap kedua memakan biaya lebih besar daripada independensi yang tampaknya ditambahkannya. Sesi kriptografis terpisah tidak menciptakan kontrol administratif terpisah.
Pertahankan gerbang dalam selama ia menegakkan persyaratan yang dapat Anda nyatakan dan uji, seperti peran yang tidak pernah diperiksa domain luar. Hapus ketika satu-satunya tugasnya adalah mengautentikasi ulang identitas yang sama terhadap tujuan yang sama. Bagaimanapun, catat persyaratan, pemilik, dan perilaku kegagalan bersama-sama, agar tinjauan berikutnya memperdebatkan persyaratan, bukan diagram.