Always-on VPN: გზა, ნებართვა და სესია ცალ-ცალკე

გვირაბის მთელი დღე-ღამე ღიად შენახვა დიზაინის გადაწყვეტილებაა, რომელსაც აქვს გონივრული და უყურადღებო ვარიანტი. ფილიალს, რომელსაც მთელი დღე ცენტრალური აპლიკაცია სჭირდება და ღამით სარეზერვო ასლის სამუშაოც, აქვს მიზეზი. სასტუმროს ოთახში სამი დღე ჩართული დარჩენილი ლეპტოპი შემთხვევითობაა.

ორივე ერთსა და იმავე მწვანე ნიშანს აჩვენებს და ორივე ერთნაირად პასუხობს, თუ ჰკითხავთ, რამდენი ხანია გვირაბი ღიაა. ეს რიცხვი საინტერესო არ არის. მნიშვნელოვანია, რას ინახავს კავშირი ხელმისაწვდომად, ვისთვის და რა ამთავრებს მას სინამდვილეში.

სამი საათი, რომლებიც ცალკე მიდიან

პირველი მდგომარეობა გზაა. გვირაბი და მისი პოლიტიკები სერვისების ერთობლიობას ხდის მისაწვდომს, და ტრაფიკის გარეშე კავშირი შეიძლება მზად დარჩეს შემდეგი მოთხოვნისთვის. რამდენ ხანს რჩება მზად, დანერგვის გადაწყვეტილებაა და არა უნივერსალური ტაიმერი.

მეორე მდგომარეობა ნებართვაა. მიღებულ იდენტობას ან მოწყობილობას შეიძლება ჰქონდეს ამ გზით სარგებლობის უფლება. ეს უფლება უნდა შეიცვალოს, როცა როლი იცვლება, მოწყობილობა იკარგება ან შეტევის ეჭვია, და ის დამოუკიდებელია იმისგან, მიედინება თუ არა პაკეტები.

მესამე მდგომარეობა თავად აპლიკაციის სესიაა. მონაცემთა ბაზის კლიენტი, დისტანციური სამუშაო მაგიდა ან ვებ აპლიკაცია ცალკე ამოწმებს თავს და ინახავს საკუთარ მდგომარეობას. გვირაბის დახურვა სულაც არ ამთავრებს რომელიმეს.

მიმოხილვა, რომელიც ამ სამს ერთ კითხვად განიხილავს, უქმობის ტაიმერებზე კამათით მთავრდება. სამივე შეიძლება იყოს ჯანსაღი ან გატეხილი დამოუკიდებლად, და ერთში ნაპოვნი ცოტას ამბობს დანარჩენებზე. სამსტრიქონიანი საკონტროლო სია ჯობია ერთი ლოდინის მნიშვნელობის დებატს. დაწერეთ პასუხი თითოეული მდგომარეობისთვის ცალკე.

გვირაბი გზაა, არა სამკერდე ნიშანი

დამყარებული გვირაბი მტკიცებულებაა, რომ ორ ბოლოს შორის დაცული გზა არსებობს. ეს არ არის მტკიცებულება, რომ ნებისმიერი ბოლოს უკან არსებულმა ყველა პროცესმა მეორე მხარის ყველა სერვისს უნდა მიაღწიოს.

NIST-ის ნულოვანი ნდობის სახელმძღვანელო იმავეს ამბობს საპირისპირო მხრიდან: ქსელში მდებარეობა არ უნდა ჩაითვალოს ნაგულისხმევ ნდობად. საიტის კავშირი ტრანსპორტის ფაქტია, და ერთი ჰოსტის ერთი აპლიკაციით სარგებლობის ნებართვა ცალკე გადაწყვეტილებაა საკუთარი მფლობელით.

დაზარალებულ პარტნიორს მაინც შეუძლია მავნე ქმედებების მცდელობა იმ სერვისებით, რომლებზეც წვდომა ნებადართული აქვს. ფილტრაცია და მონიტორინგი ამცირებს კონკრეტულ რისკებს, მაგრამ არ შლის ბოლოს დაზიანების შედეგებს. დააპროექტეთ გზისთვის და ნება დართეთ სერვისისთვის.

მუდმივი საიტის კავშირის დასაბუთება

მუდამ ჩართულის დაცვადი ვარიანტი ზუსტად ასახელებს მიზანს. რომელი წყაროები, რომელი დანიშნულებები, რომელი მიმართულება და ვის ეკუთვნის თითოეული ჩანაწერი. ფილიალის ფაიერვოლი, რომელიც ფილიალის ყველა ჰოსტს ცენტრალური ქვექსელის წვდომას აძლევს, კავშირი არ შეუნარჩუნებია დასახელებული მიზნისთვის; მან ის შეინარჩუნა ყველაფრისთვის, რაც ვინმეს მოგვიანებით მოაფიქრდება.

სადაც პარტნიორი ვერ აღწევს მოთხოვნილ ნდობის დონეს, შევიწროეთ საზღვარი ან შეცვალეთ მოწყობა. იშვიათ ხელით გათიშვაზე დაყრდნობა პროცესული კონტროლია, და პროცესული კონტროლები ყველაზე ნაკლებად სანდოა ზუსტად მაშინ, როცა ინციდენტი მათ უხერხულს ხდის.

შეინახეთ დასაბუთება კონფიგურაციასთან. დაწერილი მიზნის მქონე მუდმივი გამონაკლისი შეიძლება გადაიხედოს და გაუქმდეს. მიზნის გარეშე ის ნაგულისხმევად მუდმივი ხდება.

გასაღებების შეცვლა გაუქმება არ არის

გასაღებების გრაფიკით შეცვლა ინარჩუნებს დაცვის სასიცოცხლო ციკლს. ის აახლებს მასალას და ინარჩუნებს კონფიდენციალურობას. მაგრამ არ ართმევს ბოლოს უფლებას.

თუ ბოლოს ჯერ კიდევ აქვს მოქმედი სერტიფიკატები და მიმღები წვდომის პოლიტიკა, შემდეგი მოლაპარაკება აღადგენს იმავე ნებადართულ გზას. ამიტომ გასაღებების საათობრივი ბრუნვა დაკარგული მოწყობილობის პასუხი არ არის: დაკარგული მოწყობილობაც ბრუნავს, სანამ მისი იდენტობა სანდოა. შეამოწმეთ უფლება გრაფიკამდე. ბრუნვა ჰიგიენაა, გაუქმება კი წვდომის გადაწყვეტილება.

გაუქმება სხვა მექანიზმია საკუთარი დაყოვნებით: გაუქმებული სერტიფიკატი, გამორთული ანგარიში, შეცვლილი ჯგუფი, წაშლილი ქსელის წესი. თითოეული სხვადასხვა მომენტში მოქმედებს და სხვაგვარად იქცევა უკვე დამყარებულ სესიებთან.

უკვე მიმდინარეს დასრულება

ჰკითხეთ, რას აკეთებს დანერგვა დამყარებულ სესიებთან, როცა წვდომა იხსნება. მან შეიძლება დაასრულოს ისინი, დაელოდოს ვადის გასვლას ან შუალედში დოკუმენტირებული ქცევა გამოიყენოს. ნუ ჩათვლით, რომ ხვალინდელი მიღების ცვლილება დღევანდელ აპლიკაციის კავშირს დახურავს.

ინტერაქტიული წვდომისთვის სესიის ლიმიტები და უმოქმედობის წესები გადაეცით იდენტობისა და VPN-ის მფლობელებს და არა მხოლოდ ქსელის გუნდს. საიტის სერვისისთვის განსაზღვრეთ პროცედურა, რომელსაც ტექნიკური მომსახურება, შეფერხება ან უსაფრთხოების ინციდენტი იყენებს წვდომის გამორთვისთვის.

შემდეგ შეამოწმეთ სამი შედეგი: ნებადართული სამუშაო კვლავ მუშაობს, დაუკავშირებელ სერვისზე უარი ეთქმა, და წაშლის პროცედურა დოკუმენტირებულ შედეგს იძლევა. მუდამ ღია დიზაინი მისაღებია, როცა მისი მიზანი, ნებართვა და გამორთვის უნარი ყველა დაწერილი და გავარჯიშებულია. სხვაგვარად ეს კომფორტია, რომელმაც თავის მიზეზს გადააჭარბა.