Due porte VPN in serie: cosa decide davvero ciascuna

Concatenare due VPN viene di solito venduto come crittografia aggiuntiva, che è la cosa meno interessante che fa. Il vero prodotto è una seconda decisione di autorizzazione, presa da un altro proprietario su un altro insieme di risorse. Se entrambi gli stadi accettano la stessa credenziale e raggiungono le stesse destinazioni, la porta interna è decorazione con latenza extra. Decidere se quella seconda decisione vale il suo costo operativo inizia dal nominare cosa verifica davvero ogni porta.

Un tunnel, poi una seconda decisione

La porta esterna risponde a una domanda ampia: questo è un dispositivo aziendale approvato e può raggiungere la rete interna generale. La porta interna risponde a una più stretta: questa identità porta il diritto di manutenzione e può raggiungere questi specifici endpoint di gestione. Sono domande diverse con proprietari diversi, e nessuna implica l'altra. L'esistenza di un percorso attraverso entrambi gli stadi non è autorità per usare ciò che sta dietro la seconda. Raggiungere l'ingresso lontano dimostra che una rotta funziona, e nulla di più.

Il principio è vecchio e ancora ignorato: la posizione di rete non argomenta nulla da sola. Sintesi dell'architettura zero trust del NIST lo dice chiaramente, rifiutando la fiducia implicita che deriva da dove è arrivata una connessione o da chi possiede la rete. Applicato qui, arrivare all'ingresso interno è un prerequisito per le sue risorse, mai il permesso di usarle.

Scrivi cosa verifica ogni porta

Per ogni stadio, registra l'identità che controlla, le destinazioni che consente e le condizioni in cui può essere saltato. La porta esterna può legittimamente consentire i servizi interni ordinari più il listener della porta interna, e nulla di più. La porta interna può richiedere un'attestazione di ruolo e consentire solo gli indirizzi di gestione indicati nel registro delle modifiche. L'applicazione all'estremità lontana ha l'ultima parola su quali operazioni quel ruolo può eseguire, quindi la catena aggiunge una porta senza sostituire l'autorizzazione dell'applicazione.

Due omissioni rompono il progetto in silenzio. Se il dominio esterno raggiunge già direttamente ogni destinazione sensibile, la porta interna è facoltativa anziché obbligatoria. Se un listener pubblico o una seconda rotta privata offre lo stesso accesso, il percorso previsto è un'opzione tra diverse. Assegna anche un proprietario a ogni insieme di regole, e fai nominare dal loro contratto i servizi di destinazione, le identità di origine consentite, il DNS privato, la traduzione degli indirizzi e chi risponde quando la consegna fallisce. Un indirizzo considerato affidabile sulla rete esterna non deve mai sostituire l'autorizzazione del dominio interno.

Prova i casi di rifiuto, non il percorso felice

Una connessione riuscita attraverso entrambe le porte dimostra molto poco, perché è il caso che tutti hanno provato durante il rollout. I casi interessanti sono quelli in cui uno stadio passa e l'altro rifiuta. Tre di essi coprono la maggior parte del rischio, e ciascuno ha un esito atteso che può essere verificato anziché discusso.

Con l'accesso generale approvato e il ruolo sensibile assente, il lavoro ordinario deve continuare mentre la destinazione sensibile viene negata. Approva entrambi gli stadi e l'insieme raggiungibile dovrebbe essere gli endpoint di manutenzione indicati nel registro delle modifiche, nulla di più ampio. Con il diritto revocato a metà sessione, la politica di sessione concordata deve entrare in vigore senza smontare l'accesso generale non correlato. Se questa revoca termini una sessione esistente subito o alla successiva riautenticazione è una decisione di politica che il contratto dovrebbe già contenere. Chi ha scritto i casi di accettazione non è la persona che dovrebbe interpretarli durante un incidente.

curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"

Conta le dipendenze che hai aggiunto

Ogni stadio extra aggiunge un componente che può guastarsi e una rotta che deve annidarsi correttamente nel tunnel esterno. Durante un guasto parziale il percorso esterno resta attivo mentre quello interno è irraggiungibile, così l'utente vede un'icona VPN sana accanto a un servizio che non risponde mai.

Controlla le rotte e le regole di blocco in caso di guasto, non solo nel caso normale. Una rotta predefinita spinta dal tunnel esterno può catturare l'indirizzo della porta interna stessa, il che trasforma il secondo stadio in una connessione che si stabilisce e poi cade. Registra cosa deve restare bloccato mentre il tunnel interno manca, perché un ripiego accidentale attorno ad esso è peggio di un'interruzione pulita. Usa la stessa forma di sonda su entrambi i salti, così ciascuno viene misurato anziché presunto. Due indicatori di connessione non stabiliscono né annidamento né isolamento.

Cosa la seconda porta non può comprarti

Chiedi se le due porte condividono una credenziale, un'autorità di certificazione o un piano di gestione. Dove lo fanno, condividono anche le loro modalità di guasto più importanti, e il secondo stadio costa più dell'indipendenza che sembra aggiungere. Sessioni crittografiche separate non creano controlli amministrativi separati.

Mantieni la porta interna finché impone un requisito che puoi enunciare e testare, come un ruolo che il dominio esterno non verifica mai. Eliminala quando il suo unico compito è riautenticare la stessa identità contro le stesse destinazioni. In ogni caso, registra insieme il requisito, il proprietario e il comportamento in caso di guasto, così la prossima revisione discute il requisito e non il diagramma.