Катар турган эки VPN дарбазасы: ар бири чындыгында эмнени чечет
Катар турган эки VPN баскычы эки өзүнчө уруксат чечимин билдириши керек. Ар дарбаза эмнени текшерерин атаңыз, анан ички дарбаза эмнени четке кагарын сынаңыз.
Эки VPNди тизмектеп туташтыруу адатта кошумча шифрлөө катары сатылат, бирок бул анын эң кызыксыз иши. Чыныгы продукт — башка ээси башка ресурстар топтомуна карата кабыл алган экинчи авторизация чечими. Эгер эки баскыч тең бирдей ыйгарым укукту кабыл алып, бирдей багыттарга жетсе, ички дарбаза кошумча кечигүүсү бар жасалга гана. Бул экинчи чечим өзүнүн операциялык чыгымына татыктуубу — аны чечүү ар дарбаза чындыгында эмнени текшерерин атоодон башталат.
Бир туннель, анан экинчи чечим
Сырткы дарбаза кенен суроого жооп берет: бул бекитилген кызматкердин түзмөгүбү жана ал жалпы ички тармакка чыга алабы. Ички дарбаза тар суроого жооп берет: бул инсандыкта тейлөө укугу барбы жана ал ушул конкреттүү башкаруу акыркы чекиттерине чыга алабы. Булар ар башка ээлердин ар башка суроолору жана бири экинчисин билдирбейт. Эки баскыч аркылуу өткөн жолдун болушу экинчисинин артындагыны колдонуу ыйгарым укугу эмес. Алыскы кире берүүгө жетүү маршрут иштээрин далилдейт, андан ашык эмес.
Принцип эски жана азыр да этибарга алынбайт: тармактык орун өзүнөн өзү эч нерсени далилдебейт. NISTтин нөл ишеним архитектурасынын кыскача баяны муну ачык айтат жана байланыштын кайдан келгенине же тармак кимге таандык экенине таянган жашыруун ишенимди четке кагат. Бул жерде колдонулганда, ички кире берүүгө жетүү анын ресурстарынын алдын ала шарты, аларды колдонууга уруксат эч качан эмес.
Ар дарбаза эмнени текшерерин жазыңыз
Ар баскыч үчүн ал текшере турган инсандыкты, уруксат берген багыттарды жана аны өткөрүп жиберүүгө боло турган шарттарды жазып алыңыз. Сырткы дарбаза кадимки ички кызматтарга жана ички дарбазанын угуучусуна мыйзамдуу түрдө уруксат бере алады, башка эч нерсеге эмес. Ички дарбаза роль талабын талап кылып, өзгөртүү жазуусунда аталган башкаруу даректерине гана уруксат бере алады. Алыскы учурдагы колдонмо бул роль кайсы операцияларды аткара алары боюнча акыркы сөздү сактайт, ошондуктан тизмек колдонмо авторизациясын алмаштырбастан дарбаза кошот.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Эки кетирүү долбоорду үнсүз бузат. Эгер сырткы домен ар бир сезимтал багытка түз жетсе, ички дарбаза милдеттүү эмес, кошумча. Эгер коомдук угуучу же экинчи жеке маршрут ошол эле жетүүнү сунуштаса, көздөлгөн жол бир нече варианттын бири гана. Ар бир эрежелер топтомуна ээ дайындаңыз жана алардын келишими багыт кызматтарын, уруксат берилген булак инсандыктарын, жеке DNSди, даректерди которууну жана өткөрүп берүү ишке ашпаганда ким жооп берерин атасын. Сырткы тармакта ишенимдүү дарек ички домендин авторизациясын эч качан алмаштырбашы керек.
Четке кагуу учурларын сынаңыз, бактылуу жолду эмес
Эки дарбаза аркылуу ийгиликтүү байланыш өтө аз нерсени далилдейт, анткени бул — жайылтуу учурунда баары текшерген учур. Кызыктуу учурлар — бир баскыч өтүп, экинчиси четке какканда. Алардын үчөө тобокелдиктин көп бөлүгүн жабат жана ар биринин талкуу эмес, текшерүүгө боло турган күтүлгөн натыйжасы бар.
Жалпы жетүү бекитилип, сезимтал роль жок болгондо, сезимтал багыт четке кагылган учурда кадимки иш уланышы керек. Эки баскычты тең бекитиңиз жана жетүүгө боло турган топтом өзгөртүү жазуусунда аталган тейлөө акыркы чекиттери болушу керек, андан кенен эмес. Эгер укук сессиянын ортосунда кайтарылып алынса, келишилген сессия саясаты байланышы жок жалпы жетүүнү бузбастан күчүнө кириши керек. Бул кайтарып алуу бар сессияны дароо бүтүрөбү же кийинки кайра аутентификациядабы — бул келишимде мурунтан болушу керек болгон саясат чечими. Кабыл алуу учурларын жазган адам окуя учурунда аларды чечмелеши керек болгон адам эмес.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Кошулган көз карандылыктарды санаңыз
Ар кошумча баскыч иштен кетиши мүмкүн болгон компонентти жана сырткы туннелдин ичине туура уялоого тийиш маршрутту кошот. Жарым-жартылай иштен кетүүдө сырткы жол жогору турат, ал эми ичкиси жеткиликсиз болот, ошондуктан колдонуучу эч качан жооп бербеген кызматтын жанында соо VPN белгисин көрөт.
Маршруттарды жана тосмолош эрежелерин кадимки учурда гана эмес, иштен кетүүдө текшериңиз. Сырткы туннель түрткөн демейки маршрут ички дарбазанын өз дарегин кармап калышы мүмкүн, бул экинчи баскычты орнотулуп, анан кулаган байланышка айландырат. Ички туннель жок кезде эмне тосмолонгон бойдон калышы керектигин жазыңыз, анткени анын айланасындагы кокустан чегинүү таза үзгүлтүктөн жаман. Эки секирүүдө бирдей зонд формасын колдонуңуз, ар бири божомол эмес, өлчөнсүн. Эки туташкан статус көрсөткүчү уялоону да, обочолонууну да далилдебейт.
Экинчи дарбаза сизге эмнени сатып ала албайт
Эки дарбаза ыйгарым укукту, сертификат органын же башкаруу тегиздигин бөлүшөбү, сураңыз. Бөлүшкөн жерде алар эң маанилүү иштен кетүү режимдерин да бөлүшөт, ал эми экинчи баскыч кошуп жаткандай көрүнгөн көз карандысыздыктан кымбат турат. Өзүнчө криптографиялык сессиялар өзүнчө административдик көзөмөл жаратпайт.
Ички дарбазаны айтып, сынай алган талапты аткарган кезде кармап туруңуз, мисалы сырткы домен эч качан текшербеген роль. Анын жалгыз иши ошол эле инсандыкты ошол эле багыттарга кайра аутентификациялоо болгондо алып салыңыз. Кандай болбосун, талапты, ээсин жана иштен кетүү жүрүм-турумун чогуу жазыңыз, кийинки кароо диаграмма эмес, талап тууралуу талкуулашсын.