ორი VPN კარიბჭე ზედიზედ: რას წყვეტს თითოეული სინამდვილეში
ორი VPN საფეხური ზედიზედ უნდა ნიშნავდეს ორ ცალკე ნებართვის გადაწყვეტილებას. დაასახელეთ, რას ამოწმებს თითოეული კარიბჭე, შემდეგ შეამოწმეთ, რას უარყოფს შიდა.
ორი VPN-ის ჯაჭვად დაკავშირება ჩვეულებრივ იყიდება როგორც დამატებითი დაშიფვრა, რაც მისი ყველაზე ნაკლებად საინტერესო ფუნქციაა. ნამდვილი პროდუქტი მეორე ავტორიზაციის გადაწყვეტილებაა, რომელსაც სხვა მფლობელი იღებს სხვა რესურსების ერთობლიობაზე. თუ ორივე საფეხური ერთსა და იმავე სერტიფიკატს იღებს და ერთსა და იმავე დანიშნულებებს აღწევს, შიდა კარიბჭე დამატებითი შეყოვნების მქონე მორთულობაა. იმის გადაწყვეტა, ღირს თუ არა ეს მეორე გადაწყვეტილება თავის ოპერაციულ ღირებულებას, იწყება იმის დასახელებით, თუ რას ამოწმებს სინამდვილეში თითოეული კარიბჭე.
ერთი გვირაბი, შემდეგ მეორე გადაწყვეტილება
გარე კარიბჭე პასუხობს ფართო კითხვას: ეს დამტკიცებული თანამშრომლის მოწყობილობაა და შეიძლება თუ არა ზოგად შიდა ქსელში მოხვედრა. შიდა კარიბჭე პასუხობს უფრო ვიწროს: ატარებს თუ არა ეს იდენტობა მომსახურების უფლებას და შეიძლება თუ არა ამ კონკრეტულ მართვის ბოლო წერტილებში მოხვედრა. ეს სხვადასხვა მფლობელის სხვადასხვა კითხვაა და არც ერთი არ გულისხმობს მეორეს. ორივე საფეხურის გავლით არსებული გზა არ არის მეორის უკან მდგომის გამოყენების უფლებამოსილება. შორეულ შესასვლელამდე მისვლა ადასტურებს, რომ მარშრუტი მუშაობს და მეტს არაფერს.
პრინციპი ძველია და კვლავ იგნორირდება: ქსელური მდებარეობა თავისთავად არაფერს ამტკიცებს. NIST-ის ნულოვანი ნდობის არქიტექტურის შეჯამება ამას ნათლად ამბობს და უარყოფს იმ იმპლიციტურ ნდობას, რომელიც გამომდინარეობს იქიდან, თუ საიდან მოვიდა კავშირი ან ვის ეკუთვნის ქსელი. აქ გამოყენებისას შიდა შესასვლელამდე მისვლა მისი რესურსების წინაპირობაა, არასოდეს — მათი გამოყენების ნებართვა.
ჩაწერეთ, რას ამოწმებს თითოეული კარიბჭე
თითოეული საფეხურისთვის ჩაწერეთ იდენტობა, რომელსაც ამოწმებს, დანიშნულებები, რომლებსაც უშვებს და პირობები, რომლებშიც შეიძლება მისი გამოტოვება. გარე კარიბჭეს შეუძლია კანონიერად დაუშვას ჩვეულებრივი შიდა სერვისები პლუს შიდა კარიბჭის მსმენელი და მეტი არაფერი. შიდა კარიბჭეს შეუძლია მოითხოვოს როლის მოთხოვნა და დაუშვას მხოლოდ ცვლილების ჩანაწერში დასახელებული მართვის მისამართები. შორეულ ბოლოში მყოფი აპლიკაცია ინარჩუნებს ბოლო სიტყვას იმაზე, თუ რა ოპერაციები შეიძლება შეასრულოს ამ როლმა, ამიტომ ჯაჭვი ამატებს კარიბჭეს აპლიკაციის ავტორიზაციის შეცვლის გარეშე.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
ორი გამოტოვება ჩუმად ამსხვრევს დიზაინს. თუ გარე დომენი უკვე პირდაპირ აღწევს ყველა მგრძნობიარე დანიშნულებას, შიდა კარიბჭე სავალდებულო არ არის, არამედ არჩევითი. თუ საჯარო მსმენელი ან მეორე კერძო მარშრუტი იძლევა იმავე წვდომას, განზრახული გზა რამდენიმე ვარიანტიდან ერთია. თითოეულ წესების ერთობლიობას მფლობელიც დაუნიშნეთ და მათმა კონტრაქტმა დაასახელოს დანიშნულების სერვისები, დაშვებული წყაროს იდენტობები, კერძო DNS, მისამართების თარგმნა და ვინ პასუხობს, როცა გადაცემა ვერ ხერხდება. გარე ქსელში სანდო მისამართი არასოდეს უნდა ჩაანაცვლოს შიდა დომენის ავტორიზაცია.
შეამოწმეთ უარყოფის შემთხვევები და არა ბედნიერი გზა
ორივე კარიბჭეზე წარმატებული კავშირი ძალიან ცოტას ამტკიცებს, რადგან სწორედ ესაა ის შემთხვევა, რომელიც ყველამ გამოსცადა გაშვებისას. საინტერესოა ის შემთხვევები, როცა ერთი საფეხური გადის, მეორე კი უარყოფს. მათგან სამი ფარავს რისკის უმეტეს ნაწილს და თითოეულს აქვს მოსალოდნელი შედეგი, რომლის შემოწმებაც შეიძლება კამათის ნაცვლად.
ზოგადი წვდომის დამტკიცებისა და მგრძნობიარე როლის არარსებობისას ჩვეულებრივი სამუშაო უნდა გაგრძელდეს, სანამ მგრძნობიარე დანიშნულება უარყოფილია. დაამტკიცეთ ორივე საფეხური და მისაწვდომი ერთობლიობა უნდა იყოს ცვლილების ჩანაწერში დასახელებული მომსახურების ბოლო წერტილები და არა უფრო ფართო. თუ უფლება გაუქმდა სესიის შუაში, შეთანხმებული სესიის პოლიტიკა უნდა ამოქმედდეს დაუკავშირებელი ზოგადი წვდომის დანგრევის გარეშე. ეს გაუქმება დაუყოვნებლივ წყვეტს არსებულ სესიას თუ შემდეგი ხელახალი ავთენტიფიკაციისას — ეს პოლიტიკური გადაწყვეტილებაა, რომელიც კონტრაქტს უკვე უნდა შეიცავდეს. ვინც მიღების შემთხვევები დაწერა, ის ადამიანი არ არის, ვინც ინციდენტის დროს უნდა განმარტოს ისინი.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"დათვალეთ დამატებული დამოკიდებულებები
ყოველი დამატებითი საფეხური ამატებს კომპონენტს, რომელიც შეიძლება გაფუჭდეს და მარშრუტს, რომელიც სწორად უნდა ჩაჯდეს გარე გვირაბში. ნაწილობრივი ჩავარდნის დროს გარე გზა რჩება ზემოთ, ხოლო შიდა მიუწვდომელია, ამიტომ მომხმარებელი ხედავს ჯანსაღ VPN ხატულას იმ სერვისის გვერდით, რომელიც არასოდეს პასუხობს.
შეამოწმეთ მარშრუტები და ბლოკირების წესები ჩავარდნის დროს და არა მხოლოდ ჩვეულებრივ შემთხვევაში. გარე გვირაბის მიერ გაშვებულ ნაგულისხმევ მარშრუტს შეუძლია შიდა კარიბჭის საკუთარი მისამართის დაჭერა, რაც მეორე საფეხურს აქცევს კავშირად, რომელიც მყარდება და შემდეგ ვარდება. ჩაწერეთ, რა უნდა დარჩეს დაბლოკილი, სანამ შიდა გვირაბი არ არის, რადგან მის გარშემო შემთხვევითი უკან დახევა უარესია სუფთა შეწყვეტაზე. გამოიყენეთ იგივე ზონდის ფორმა ორივე ნახტომზე, რომ თითოეული გაიზომოს და არა ვარაუდით იქნას მიღებული. ორი დაკავშირებული სტატუსის მაჩვენებელი არ ადგენს არც ჩადგმას და არც იზოლაციას.
რას ვერ იყიდის თქვენთვის მეორე კარიბჭე
იკითხეთ, იზიარებენ თუ არა ორი კარიბჭე სერტიფიკატს, სერტიფიკატების ორგანოს ან მართვის სიბრტყეს. სადაც იზიარებენ, იქ თავიანთ უმნიშვნელოვანეს ჩავარდნის რეჟიმებსაც იზიარებენ და მეორე საფეხური უფრო ძვირია, ვიდრე დამოუკიდებლობა, რომელსაც თითქოს ამატებს. ცალკე კრიპტოგრაფიული სესიები ცალკე ადმინისტრაციულ კონტროლს არ ქმნიან.
შეინარჩუნეთ შიდა კარიბჭე, სანამ ის ასრულებს მოთხოვნას, რომელიც შეგიძლიათ ჩამოაყალიბოთ და გამოსცადოთ, მაგალითად როლი, რომელსაც გარე დომენი არასოდეს ამოწმებს. მოაშორეთ ის, როცა მისი ერთადერთი საქმეა იგივე იდენტობის ხელახლა ავთენტიფიკაცია იმავე დანიშნულებებზე. ნებისმიერ შემთხვევაში, ჩაწერეთ მოთხოვნა, მფლობელი და ჩავარდნის ქცევა ერთად, რათა შემდეგმა განხილვამ მოთხოვნაზე იკამათოს და არა დიაგრამაზე.