Always-on VPN: жол, рұқсат және сессия бөлек

Туннельді тәулік бойы ашық ұстау — жобалау шешімі, оның негізді және немқұрайлы нұсқасы бар. Күні бойы орталық қолданба қажет және түнгі резервтік көшіру жұмысы бар филиалдың себебі бар. Қонақ үй бөлмесінде үш күн қосылып қалған ноутбук — оқиға.

Екеуі де бірдей жасыл белгіні көрсетеді және туннель қанша уақыт ашық деп сұрасаңыз, екеуі де бірдей жауап береді. Бұл сан қызықты емес. Маңыздысы — байланыс нені қолжетімді ұстайды, кімге және оны шын мәнінде не аяқтайды.

Бөлек жүретін үш сағат

Бірінші күй — жол. Туннель және оның саясаттары қызметтер жиынтығын қолжетімді етеді, ал трафигі жоқ байланыс келесі сұрауға дайын болып қала алады. Қанша уақыт дайын тұратыны — іске асыру шешімі, әмбебап таймер емес.

Екінші күй — рұқсат. Қабылданған сәйкестік немесе құрылғы сол жолды пайдалануға уәкілетті болуы мүмкін. Бұл уәкілеттік рөл өзгергенде, құрылғы жоғалғанда немесе бұзуға күдік болғанда өзгеруі керек, және ол пакеттердің ағынына тәуелсіз.

Үшінші күй — қолданбаның өз сессиясы. Дерекқор клиенті, қашықтағы жұмыс үстелі немесе веб-қолданба бөлек аутентификацияланады және өз күйін сақтайды. Туннельді жабу олардың ешқайсысын міндетті түрде аяқтамайды.

Осы үшеуін бір сұрақ ретінде қарастыратын шолу бос тұру таймерлері туралы даумен аяқталады. Үшеуі де жеке-жеке сау немесе бүлінген болуы мүмкін, ал біреуіндегі қорытынды қалғандары туралы аз айтады. Үш жолды тексеру тізімі бір күту мәні туралы даудан артық. Әр күй үшін жауапты бөлек жазыңыз.

Туннель — жол, белгі емес

Орнатылған туннель екі шеттің арасында қорғалған жол бар екенінің дәлелі. Бұл кез келген шеттің артындағы әрбір процесс қарсы жақтағы әрбір қызметке жетуі керек деген дәлел емес.

NIST-тің нөлдік сенім нұсқаулығы сол ойды қарсы жақтан айтады: желідегі орынды жасырын сенім ретінде қарауға болмайды. Сайт байланысы — тасымал фактісі, ал бір хосттың бір қолданбаны пайдалану рұқсаты — өз иесі бар жеке шешім.

Бұзылған серіктес өзіне рұқсат етілген қызметтер арқылы зиянды әрекеттерді әлі де байқап көруі мүмкін. Сүзу және бақылау нақты тәуекелдерді азайтады, бірақ шеттің бұзылу салдарын жоймайды. Жол үшін жобалаңыз және қызмет үшін рұқсат беріңіз.

Тұрақты сайт байланысын негіздеу

Үнемі ашықтың қорғалатын нұсқасы мақсатын дәл атайды. Қандай көздер, қандай межелер, қай бағыт және әр жазбаның иесі кім. Филиалдың әрбір хостына әрбір орталық ішкі желіге рұқсат беретін филиалдық файрвол аталған мақсат үшін байланыс ұстаған жоқ; ол оны кейін біреу ойлап табатынның бәрі үшін ұстады.

Серіктес талап етілетін сенім деңгейіне жете алмайтын жерде шекараны тарылтыңыз немесе тәртіпті өзгертіңіз. Анда-санда қолмен ажыратуға сену — процестік бақылау, ал процестік бақылаулар дәл оқиға оларды қолайсыз еткенде ең сенімсіз болады.

Негіздемені конфигурациямен бірге сақтаңыз. Жазылған мақсаты бар тұрақты ерекшелік қаралып, кері қайтарылуы мүмкін. Мақсатсыз ерекшелік әдепкі бойынша тұрақты болады.

Кілттерді ауыстыру — күшін жою емес

Кілттерді кесте бойынша ауыстыру қорғаныстың өмірлік циклін ұстайды. Ол материалды жаңартып, құпиялылықты сақтайды. Бірақ шеттің құқығын алып қоймайды.

Егер шетте әлі жарамды тіркелгі деректері және оны қабылдайтын қатынау саясаты болса, келесі келіссөз сол рұқсат етілген жолды қалпына келтіреді. Сондықтан кілттерді сағат сайын айналдыру жоғалған құрылғыға жауап емес: жоғалған құрылғы да айналады, оның сәйкестігі әлі сенімді болса. Кестеден бұрын құқықты тексеріңіз. Айналдыру — гигиена, күшін жою — қатынау шешімі.

Күшін жою — өз кідірісі бар басқа механизм: күші жойылған сертификат, өшірілген тіркелгі, өзгертілген топ, жойылған желі ережесі. Әрқайсысы басқа сәтте күшіне енеді және бұрыннан орнатылған сессияларға басқаша әрекет етеді.

Қазірдің өзінде жүріп жатқанды аяқтау

Қатынау алынып тасталғанда іске асыру орнатылған сессиялармен не істейтінін сұраңыз. Ол оларды тоқтатуы, мерзімінің бітуін күтуі немесе арасында құжатталған мінез-құлық қолдануы мүмкін. Ертеңгі қабылдау өзгерісі бүгінгі қолданба байланысын жабады деп ойламаңыз.

Интерактивті қатынау үшін сессия шектеулері мен әрекетсіздік ережелерін тек желілік топқа емес, сәйкестік және VPN иелеріне беріңіз. Сайт қызметі үшін техникалық қызмет, үзіліс немесе қауіпсіздік оқиғасы қатынауды өшіретін тәртіпті белгілеңіз.

Содан кейін үш нәтижені тексеріңіз: рұқсат етілген жұмыс әлі де жүреді, байланысы жоқ қызмет қабылданбайды және жою тәртібі құжатталған нәтиже береді. Үнемі ашық жобалау мақсаты, уәкілеттігі және өшіру қабілеті түгел жазылып, жаттықтырылғанда қабылданады. Әйтпесе бұл өз себебінен ұзақ өмір сүрген қолайлылық.