Екі факторлы аутентификациясы бар виртуалды VPN шлюзі үшін қабылдау тексерулері
Шлюзді кезең-кезеңімен дәлелдеңіз: тіркелу, кіру, бас тарту, кері қайтарып алу және қалпына келтіру, әрқайсысы дәйектеме мен тестке дейін жазылған өту шартымен.
Жеткізушілер бұл құрылғыны виртуалды және екі факторға қабілетті деп сипаттайды, және бұл екі сөздің ешқайсысы сатып алуды шешетін сұрақтарға жауап бермейді. Қай гипервизор бейнесі қолдау табады, қай клиенттер тіркеле алады, екінші фактор шын мәнінде нені дәлелдейді және сәйкестік провайдері істен шыққанда не болады — бұлар әлі ашық. Оларды сынама жаттығуда орындауға болатын қабылдау кезеңдеріне айналдырыңыз, сонда шешім деректер парағының қаншалықты сенімді екеніне тәуелді болмайды. Төмендегі парақ — сол дәлелдерге арналған құрылым, өнімдер рейтингі емес.
Жеткізуші осы орналастыру туралы нені растауы керек
Орналастыруды бір бетке сыйғызудан бастаңыз: гипервизор немесе бұлт, қонақ сәулеті, қолдау көрсетілетін бейне және құрылғы күтетін интерфейстер. Пайдаланушыларды олардың операциялық жүйелерімен, құрылғылар басқарыла ма, және тіркелу мен кіру қалай жұмыс істеуі керектігін қосыңыз. Содан кейін жеке қатынас: қолданбалар мен префикстер, DNS реттеуі, қайтару жолдары және жалпыға қолжетімді интернет шығысы ұсыныстың бөлігі ме.
Пайдалану да сол бетке жатады: жәшікті кім күтіп ұстайды, жаңартулар қайдан келеді, журналдар қайда кетеді, конфигурация қалай қорғалады және бизнес қандай қалпына келтіру мақсатына шынымен келісті. Жеткізушіден бағдарламаның виртуалды машинада жүретінін емес, дәл сол комбинацияны растауды сұраңыз. Сыртқы тәуелділіктерді, мысалы сәйкестік провайдерін немесе лицензиялау қызметін, көрінетін күйде ұстаңыз, өйткені олар орналастырудың бөлігі, онымен бірге жеткізілсе де, жеткізілмесе де. Атаулы тәуелділігі жоқ орналастыру беті әдетте белгісіз тәуелділігі бар орналастыру беті болады.
Екінші фактордың шынымен екінші фактор екенін дәлелдеңіз
Аутентификатор мен тексеру ағынын атаңыз және әр қадам қандай сәйкестік орнататынын айтыңыз. Қатарынан екі құпиясөз сұрауы екінші фактор емес, ал құпиясөз бен бір реттік код қызметке байланған криптографиялық аутентификатордан өзгеше мәлімдеме. Сіз сатып алатын ағынды жазыңыз, қораптағы жапсырманы емес.
Фишингке төзімділік жеке қасиет, және NIST-тің аутентификаторлар туралы нұсқаулығы оны дәл солай қарастырады: пайдаланушыны алдап жіберуге болатын код көпфакторлы аутентификацияны әлі қанағаттандырады, бірақ сол қосымша шартта сәтсіздікке ұшырайды. Егер бұл сізге маңызды болса, қасиетті ашық талап етіңіз. Содан кейін пайдаланушыларыңыз шынымен іске қосатын клиент түрінен көрсетуді талап етіңіз: тіркелу, қабылданбаған немесе мерзімі өткен шақыру, жоғалған аутентификатордан кейінгі қалпына келтіру және басқалары қосылып тұрғанда бір пайдаланушыны кері қайтарып алу. Шлюздің сәйкестігін тексеруді шеңберде ұстаңыз, өйткені кез келген шлюзге сенетін клиент мәселені шешпей, орнын ауыстырды.
Бірдеңені бұзбас бұрын өту шартын жазыңыз
Төмендегі кесте — парақтың жеткізушімен жанасуға төтеп беретін бөлігі, өйткені әр жол кепілдіктің орнына дәйектеме талап етеді. Өту шартын жаттығу алдында толтырыңыз және дәлелсіз жолды сәтсіз жол деп қараңыз. Бес кезең шлюз не істеуі керегін қамтиды.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Тіркелу бірінші тұрады, өйткені одан кейінгінің бәрі оған тәуелді: тіркеле алмайтын құрылғыны тексеру мүмкін емес. Кіру тіркелуден бөлек кезең, ал бас тарту — көптеген парақтар ұмытатын кезең, өйткені барлығын кіргізетін шлюз біреуге бас тартатынын дәлелдемеген. Кері қайтарып алу мен қалпына келтіру амалдық тәуекелдің көп бөлігін алып жүреді, және екеуін де көшірмеде арзан жаттықтыруға болады.
Тірі шлюзде емес, көшірмеде жаттығыңыз
Бұзушы кезеңдерді платформаның көшірмесінде, қолдау көрсетілетін орналастыру процедурасын ұстанып орындаңыз және әр дәлелді күні мен конфигурация нұсқасымен бірге сақтаңыз. Қайта жүктеу жолына консольден қайта жүктеу жауап емес, ал қалпына келтіру жолына конфигурацияны экспорттау жауап емес. Қай күй өзінен-өзі қайтады және нені қайта қосу керегін жазып қойыңыз, өйткені дәл сол айырмашылықты пайдалану тобы мұраға алады. Жаттығу — үзілісті түсіндірмей қалпына келтіру уақытын өлшеудің де жалғыз мүмкіндігі.
Әр тест сәтіндегі сәйкестік провайдерінің күйін жазып отырыңыз, өйткені сау провайдерге қарсы тексерілген істен шығу жолы парақ айтқанның керісін дәлелдейді. Бір жаттығудағы екі рецензент әртүрлі нәрсені ұстайды, ал екіншісі әдетте дәлелі басқару тақтасының скриншоты болып табылатын жолды табады. Сол дәлелді тиесілі жолына бекітіп ұстаңыз, жоба атындағы қалтада емес.
Тобыңыз орындайтын жүктемені өлшеңіз
Қалыпты аптаға ұқсайтын жүктеме туралы келісіңіз, содан кейін оны орналастырғыңыз келетін жерде өлшеңіз: бір мезгілдік, трафик қоспасы және топта шынымен бар техникалық қызмет көрсету терезесі. Жарнамаланған өткізу қабілетінің саны зертханалық жағдайды сипаттайды және пайдаланушыларыңыз туралы ештеңе айтпайды. Қалпына келтіруді жоспарға емес, қалпына келтіру мақсатына қарсы өлшеңіз.
Парақ әр кезеңнің дәйектемесі және әр дәйектеменің күні болғанда аяқталады. Біреу күтіп ұстайтын құрылғы, әр жолға дәлелмен, белгіленген ұяшықтардың ең ұзын тізімінен өзгеше сатып алу.