Өнөктөштөрдү бириктирбестен өнөктөш VPN жетүүсүн борборлоштуруу

Сунуш орундуу: ондогон ноутбукка бөлүнгөн беш өнөктөш туннели, беш клиент версиясынын топтому, беш колдоо үстөлүнүн скрипти жана алар кантип туташканын билген бир инженер. Аларды башкарылуучу жетүү деңгээлине өткөрүү акыркы чекиттердин чачыроосун чечет. Ал ошондой эле архитектураңызда жаңы объект жаратат, эми өзүнүн уруксат модели керек болгон жалпы жетүү кызматы, жана баары баалаган эмес ийгиликсиздик — бардык туннелдер күйгүзүлгөн борбордук түзмөктүн кошуна болууга эч качан макул болбогон уюмдардын ортосундагы транзиттик тармакка үнсүз айланышы. Бул тобокелдик — долбоор тандоосу, жабдуу өзү жасай турган нерсе эмес. Төмөнкү иш ыңгайлуулукту кокустан пайда болгон терс таасирди кабыл албастан кантип сактап жатканымды көрсөтөт.

Ар бир өнөктөш кол койгон келишимден баштаңыз

Каалаган конфигурациядан мурун өнөктөштүн жалпы шлюзге же сайт байланышына таптакыр уруксат берерин текшериңиз. Жеке алыскы жетүү эсеби, түзмөктүн абалына талап же интерактивдүү MFA агымы көзөмөлсүз жалпы туннелге өтпөшү мүмкүн, ал эми кызматкерлерди бир көчүрүлгөн клиент инсандыгынын артына топтоо — өнөктөш журналдарын текшергенге чейин жашаган кыска жол. Ар бир уруксат берилген байланыш үчүн максат диапазондорун, жеке DNS домендерин, уруксат берилген ички булактарды, аутентификация ээсин жана туннель иштебей калганда эмне болушу керектигин жазыңыз. Өнөктөштөн жалпы байланышты жазуу түрүндө ырастоону сураныңыз, анын ичинде ал кабыл ала турган булак диапазондору. Оозеки макулдук адатта алардын коопсуздук тобу алмашкан жумада маанисин өзгөртөт.

Ошол жазуу — натыйжа. Эгер аны бир өнөктөш үчүн жаза албасаңыз, ал өнөктөш борборлоштурууга даяр эмес.

Максат боюнча эмес, контекст боюнча маршруттаңыз

Эки өнөктөш акыры бир жеке диапазонду колдонот, анткени ар бир уюм бир эле RFC 1918 мейкиндигинен тандайт. Бир кадимки маршруттоо таблицасы максат дареги боюнча гана туура өнөктөштү тандай албайт, ошондуктан кабатташкан диапазондорго өзүнчө маршруттоо контексттери же башка макулдашылган долбоор керек. RFC 4364 документиндеги багыттоо домени модели бул бөлүүнүн эмне үчүн маанилүү экенин түшүндүрөт, жана жайылтуу өз шлюз платформасынан ошол эле касиетти талап кылуу үчүн MPLS иштетүүнүн зарылдыгы жок.

Платформага түз суроо бериңиз: эки өнөктөш бир максат префиксин бөлүшүп, сессия кайсы кызматкер контекстинен келгени менен дагы айырмалана алабы? Жооп жок болсо, бул чектөө долбоорду каалаган жеткирүүчүнүн мүмкүнчүлүктөр тизмесинен да көбүрөөк калыптандырат.

Жооп ооба болгон жерде маршруттоо контексти документтештүргөн жана текшерген нерсеге айланат, анткени ал traceroute ичинде көрүнбөйт.

Кызматкер эмнени терет жана өнөктөш эмнени жазат — аны чечиңиз

Өнөктөштүн ишинин бир бөлүгү колдонмо проксисине же ошол өнөктөштүн контекстинде ачылуучу алыскы жумуш мейкиндигине туура келет. Башка иш уруксат берилген кызматкерлер сегментинен маршрутталган тармактык жетүүнү талап кылат, жана экөө тең алыскы учта ар башка булак даректерин жана ар башка аудит изин жаратат. Жалпы которулган булак дареги уруксат тизмесин канааттандырып, кайсы түзмөк эмне кылганын жашыра алат, ошондуктан кызматкер-сессия байланышынын ишенимдүү жазуусун сактаңыз жана шлюз дарегин инсандык катары кароонун ордуна колдонмо аутентификациясын ордунда кармаңыз, бул өнөктөш муну ким кылды деп сураган учурга чейин ыңгайлуу.

Андан кийин кызматкер тараптан бир чыныгы тапшырманы басып өтүңүз: эмнени басышат, эмнени талап кылышат жана өнөктөш журнал жазуусун сураса эмнени көрөт. Эгер бул жүрүш кайталанбаса, долбоор бүтө элек.

Өнөктөштөр ортосундагы транзитти ачык тыюу салыңыз

Жалпы жабдуу эч качан жалпы ишенимди билдирбеши керек. Тыюуну аталган ээси бар атайын эреже катары кошуңуз, жетишпеген конфигурациянын кокустугу катары эмес, жана аны эки багытта тең болбосо ийгиликтүү болмок суроо менен текшериңиз. Тест маанилүү, анткени жөн гана жок уруксатты байланышсыз даттанууну чечүү үчүн маршрут кошкон кийинки инженер калыбына келтириши мүмкүн.

Тыюуну уруксаттардын жанында өнөктөш жазуусуна жазыңыз, ниет кызматкерлер алмашканда да сакталсын.

Аны чоңураак ноутбук катары эмес, жалпы кызмат катары жүргүзүңүз

Туннелдерди жаңыртуу, каттоо маалыматтарын айландыруу, сыйымдуулук жана шлюзди алмаштыруу азыр баары жалпы кызматтын өзгөрүүлөрүнө айланат, башкача айтканда аларга жеке ноутбуктар эч качан талап кылбаган график жана байланыш жолу керек. Ишембиде бүтө турган өнөктөш сертификаты эми бир колдонуучунун тыныгуусу эмес; бул ошол өнөктөштүн бардык сессиялары бир убакта.

Деңгээлди өнөктөштөр аралык тыюу салынган суроо так ойлогондой ийгиликсиз болуп, уруксат берилген кызматкердин суроосу туура булак менен туура максатка жеткенде гана кабыл алыңыз. Ноутбук кагылышын жоюп, ар бир өнөктөштүн чек арасын бүтүн сактоо — бүткүл маселе; ар бир алыскы префикс ар бир үстөлдөн жеткиликтүү болгон долбоор маселени эле жылдырган.

Өнөктөш, контекст, уруксат берилген диапазондор жана ээ тууралуу кичинекей таблица кармаңыз. Окуя учурунда бирөө эң оболу ушунү сурайт.