Tvö VPN-hlið í röð: hvað ákveður hvort um sig í raun
Tvö VPN-stig í röð ættu að þýða tvær aðskildar heimildarákvarðanir. Nefndu hvað hvert hlið athugar, prófaðu síðan hvað hið innra synjar.
Keðja tveggja VPN er venjulega seld sem viðbótar dulkóðun, sem er það minnst áhugaverða sem hún gerir. Raunverulega varan er önnur heimildarákvörðun, tekin af öðrum eiganda gagnvart öðru mengi auðlinda. Ef bæði stigin samþykkja sama skilríki og ná sömu áfangastöðum er hið innra hlið skraut með aukinni bið. Ákvörðunin um hvort þessi seinni ákvörðun sé verð síns rekstrarkostnaðar hefst á að nefna hvað hvert hlið staðfestir í raun.
Einn göng, svo önnur ákvörðun
Ytra hliðið svarar víðri spurningu: er þetta samþykkt starfsmannstæki, og má það ná almennu innra neti. Innra hliðið svarar þrengri: ber þessi auðkenni viðhaldsréttinn, og má það ná þessum tilteknu stjórnunarendapunktum. Þetta eru ólíkar spurningar með ólíkum eigendum, og hvorug leiðir af sér hina. Tilvist slóðar í gegnum bæði stigin er ekki heimild til að nota það sem stendur bak við hið seinni. Að ná fjarlægu inngöngunni sannar að slóð virkar, og ekkert meira.
Meginreglan er gömul og enn hunsuð: netstaðsetning færir ekki rök fyrir neinu sjálf. Samantekt NIST á núlltraustsarkitektúr segir það skýrt og hafnar óbeinu trausti sem leiðir af því hvaðan tenging kom eða hver á netið. Hér beitt er kom að innri inngöngunni forsenda fyrir auðlindum hennar, aldrei heimildin til að nota þær.
Skrifaðu niður hvað hvert hlið staðfestir
Fyrir hvert stig skráðu auðkennið sem það athugar, áfangastaðina sem það leyfir og skilyrðin sem það má sleppa við. Ytra hliðið má lögmætlega leyfa venjulega innri þjónustu auk hlustanda innra hliðsins, og ekkert annað. Innra hliðið getur krafist hlutverkskröfu og aðeins leyft stjórnunarheimilisfangin sem nefnd eru í breytingaskránni. Forritið í fjarlæga endanum heldur síðasta orðinu um hvaða aðgerðir það hlutverk má framkvæma, svo keðjan bætir við hliði án þess að koma í stað heimildar forritsins.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Tvær sleppingar brjóta hönnunina hljóðlega. Ef ytra lénið nær þegar beint til hverrar viðkvæmrar áfangastöðvar er innra hliðið valfrjálst frekar en skylt. Ef opinber hlustandi eða önnur einkaslóð býður sömu aðgang er fyrirhuguð slóð einn valkostur af mörgum. Úthlutaðu líka eiganda til hvers reglusetts og láttu samning þeirra nefna áfangastaðaþjónustu, leyfð auðkenni uppruna, einka-DNS, vistfangaþýðingu og hver svarar þegar afhending mistekst. Vistfang sem er treyst á ytra netinu má aldrei koma í stað heimildar innra lénsins.
Prófaðu synjunaratvikin, ekki hamingjusömu slóðina
Árangursrík tenging í gegnum bæði hlið sannar mjög lítið, því það er atvikið sem allir prófuðu við upptökuna. Áhugaverðu atvikin eru þau þar sem annað stigið fer í gegn og hitt synjar. Þrjú þeirra ná yfir mestan hluta áhættunnar, og hvert hefur væntanlegt útkomu sem hægt er að athuga frekar en ræða.
Með almennan aðgang samþykktan og viðkvæma hlutverkið fjarverandi verður venjulegt starf að halda áfram á meðan viðkvæmu áfangastaðnum er synjað. Samþykktu bæði stigin og náanlegt mengi ætti að vera viðhaldsendapunktarnir sem nefndir eru í breytingaskránni, ekkert víðtækara. Ef rétturinn er afturkallaður mitt í lotu verður samþykkt lotustefna að taka gildi án þess að rífa niður ótengdan almennan aðgang. Hvort sú afturköllun endar fyrirliggjandi lotu strax eða við næstu endurheimild er stefnuákvörðun sem samningurinn ætti þegar að innihalda. Sá sem skrifaði samþykktaratvikin er ekki manneskjan sem ætti að túlka þau í atviki.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Teldu ósjálfstæðin sem þú bættir við
Hvert auka stig bætir við íhlut sem getur bilað og slóð sem verður að hreiðra rétt inni í ytri göngunni. Við hluta bilun stendur ytri slóðin uppi á meðan hin innri er óaðgengileg, svo notandinn sér heilbrigt VPN-tákn við hlið þjónustu sem svarar aldrei.
Athugaðu slóðirnar og lokunarreglurnar við bilun frekar en aðeins í venjulegu tilviki. Sjálfgefin slóð sem ytri göngin ýta á getur fangað eigið vistfang innra hliðsins, sem gerir annað stigið að tengingu sem kemst á og dettur svo. Skráðu hvað á að vera lokað á meðan innri göngin vantar, því tilviljunarkennd afturhvarf í kringum þau er verra en hrein truflun. Notaðu sama prófunarform á báðum hoppum, svo hvert sé mælt frekar en gert ráð fyrir. Tvö tengd stöðumerki staðfesta hvorki hreiðrun né einangrun.
Hvað annað hliðið getur ekki keypt þér
Spyrðu hvort hliðin tvö deili skilríkjum, vottunarstofu eða stjórnunarplani. Þar sem þau gera það deila þau líka mikilvægustu bilunarmátum sínum, og annað stigið kostar meira en sjálfstæðið sem það virðist bæta við. Aðskildar dulritunarlotur skapa ekki aðskildar stjórnunareftirlit.
Haltu innra hliðinu á meðan það framfylgir kröfu sem þú getur sett fram og prófað, eins og hlutverki sem ytra lénið athugar aldrei. Fargaðu því þegar eina starf þess er að endurheimilda sama auðkenni gagnvart sömu áfangastöðum. Hvort sem er, skráðu kröfuna, eigandann og bilunarhegðunina saman, svo næsta endurskoðun ræði kröfuna en ekki skýringarmyndina.