Қатар орналасқан екі VPN қақпасы: әрқайсысы шын мәнінде нені шешеді
Қатар тұрған екі VPN кезеңі екі бөлек рұқсат шешімін білдіруі керек. Әр қақпа нені тексеретінін атаңыз, содан кейін ішкі қақпа нені қабылдамайтынын тексеріңіз.
Екі VPN-ді тізбектей қосу әдетте қосымша шифрлау ретінде сатылады, бірақ бұл оның ең қызықсыз қызметі. Нағыз өнім — басқа иесі басқа ресурстар жиынтығына қатысты қабылдайтын екінші авторизация шешімі. Егер екі кезең де бірдей тіркелгі деректерін қабылдап, бірдей межелерге жетсе, ішкі қақпа қосымша кідірісі бар әшекей ғана. Бұл екінші шешім өзінің операциялық құнына тұрарлық па — оны шешу әр қақпа шын мәнінде нені тексеретінін атаудан басталады.
Бір туннель, содан кейін екінші шешім
Сыртқы қақпа кең сұраққа жауап береді: бұл мақұлданған қызметкер құрылғысы ма және ол жалпы ішкі желіге шыға ала ма. Ішкі қақпа тар сұраққа жауап береді: бұл сәйкестікте қызмет көрсету құқығы бар ма және ол осы нақты басқару соңғы нүктелеріне шыға ала ма. Бұл — иелері әртүрлі әртүрлі сұрақтар және бірі екіншісін білдірмейді. Екі кезең арқылы өтетін жолдың болуы екіншісінің артында тұрғанды пайдалану өкілеттігі емес. Алыс кіреберіске жету маршруттың жұмыс істейтінін дәлелдейді, одан артық емес.
Қағида ескі және әлі де елемейді: желілік орын өздігінен ештеңені дәлелдемейді. NIST-тің нөлдік сенім сәулетінің түйіндемесі мұны анық айтады және байланыстың қайдан келгеніне немесе желі кімге тиесілі екеніне сүйенетін жасырын сенімді жоққа шығарады. Осында қолданылса, ішкі кіреберіске жету оның ресурстарының алғышарты, оларды пайдалану рұқсаты ешқашан емес.
Әр қақпа нені тексеретінін жазыңыз
Әр кезең үшін ол тексеретін сәйкестікті, рұқсат ететін межелерді және оны өткізіп жіберуге болатын шарттарды жазып алыңыз. Сыртқы қақпа қарапайым ішкі қызметтерге және ішкі қақпаның тыңдаушысына заңды түрде рұқсат ете алады, басқа ештеңеге емес. Ішкі қақпа рөл талабын талап етіп, өзгеріс жазбасында аталған басқару мекенжайларына ғана рұқсат ете алады. Алыс жақтағы қолданба бұл рөлдің қандай операцияларды орындай алатыны туралы соңғы сөзді сақтайды, сондықтан тізбек қолданба авторизациясын алмастырмай-ақ қақпа қосады.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Екі қате дизайнды үнсіз бұзады. Егер сыртқы домен әр сезімтал межеге тікелей жететін болса, ішкі қақпа міндетті емес, қосымша. Егер жария тыңдаушы немесе екінші жеке маршрут сол қатынасты ұсынса, көзделген жол бірнеше нұсқаның бірі ғана. Әр ереже жиынтығына ие тағайындаңыз және олардың шарты межелік қызметтерді, рұқсат етілген бастауыш сәйкестіктерді, жеке DNS-ті, мекенжай аудармасын және тапсыру сәтсіз болғанда кім жауап беретінін атасын. Сыртқы желіде сенімді мекенжай ішкі доменнің авторизациясын ешқашан алмастырмауы керек.
Бас тарту жағдайларын тексеріңіз, бақытты жолды емес
Екі қақпа арқылы сәтті қосылу өте азды дәлелдейді, өйткені бұл — енгізу кезінде бәрі тексерген жағдай. Қызықты жағдайлар — бір кезең өтіп, екіншісі бас тартқанда. Олардың үшеуі тәуекелдің көп бөлігін жабады және әрқайсысының талас емес, тексеруге болатын күтілетін нәтижесі бар.
Жалпы қатынас мақұлданып, сезімтал рөл жоқ болса, сезімтал меже бас тартылған кезде қарапайым жұмыс жалғасуы керек. Екі кезеңді де мақұлдаңыз және қолжетімді жиынтық өзгеріс жазбасында аталған қызмет көрсету соңғы нүктелері болуы керек, одан кең емес. Егер құқық сессияның ортасында қайтарып алынса, келісілген сессия саясаты байланысы жоқ жалпы қатынасты бұзбай күшіне енуі керек. Бұл қайтарып алу бар сессияны бірден бітіре ме әлде келесі қайта аутентификацияда ма — бұл шартта әлдеқашан болуы тиіс саясат шешімі. Қабылдау жағдайларын жазған адам оқиға кезінде оларды түсіндіретін адам болмауы керек.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Қосылған тәуелділіктерді санаңыз
Әр қосымша кезең істен шығуы мүмкін компонентті және сыртқы туннельдің ішіне дұрыс орнығуы тиіс маршрутты қосады. Ішінара істен шыққанда сыртқы жол жоғары тұрады, ал ішкісі қолжетімсіз болады, сондықтан пайдаланушы ешқашан жауап бермейтін қызметтің қасында сау VPN белгішесін көреді.
Маршруттар мен бұғаттау ережелерін тек қалыпты жағдайда емес, істен шыққанда тексеріңіз. Сыртқы туннель итерген әдепкі маршрут ішкі қақпаның өз мекенжайын ұстап қалуы мүмкін, бұл екінші кезеңді орнатылып, содан кейін құлайтын байланысқа айналдырады. Ішкі туннель жоқ кезде ненің бұғатталған күйде қалуы керектігін жазыңыз, өйткені оның айналасындағы кездейсоқ шегіну таза үзілістен нашар. Екі секіруде бірдей зонд пішінін қолданыңыз, әрқайсысы болжам емес, өлшенсін. Екі қосылған күй индикаторы не ұялауды, не оқшаулауды дәлелдемейді.
Екінші қақпа сізге нені сатып ала алмайды
Екі қақпа тіркелгі деректерін, сертификат органын немесе басқару жазықтығын бөлісе ме, сұраңыз. Бөлісетін жерде олар ең маңызды істен шығу режимдерін де бөліседі, ал екінші кезең қосып тұрғандай көрінетін тәуелсіздіктен қымбат тұрады. Бөлек криптографиялық сессиялар бөлек әкімшілік бақылау жасамайды.
Ішкі қақпаны айтып, тексере алатын талапты орындап тұрғанда ұстаңыз, мысалы сыртқы домен ешқашан тексермейтін рөл. Оның жалғыз жұмысы бірдей сәйкестікті бірдей межелерге қайта аутентификациялау болғанда оны алып тастаңыз. Қалай болса да, талапты, иені және істен шығу тәртібін бірге жазыңыз, келесі шолу диаграмма емес, талап туралы талассын.