Эки факторлуу аутентификация менен виртуалдык VPN шлюзу үчүн кабыл алуу текшерүүлөрү
Шлюзду этап-этабы менен далилдеңиз: каттоо, кирүү, баш тартуу, жокко чыгаруу жана калыбына келтирүү, ар бири далил жана сыноодон мурун жазылган өтүү шарты менен.
Жеткирүүчүлөр бул түзмөктү виртуалдык жана эки факторго жөндөмдүү деп сүрөттөшөт, жана бул эки сөздүн эч бири сатып алууну чечкен суроолорго жооп бербейт. Кайсы гипервизор образы колдоого алынат, кайсы кардарлар каттала алат, экинчи фактор чындыгында эмнени далилдейт жана идентификация провайдери иштебей калганда эмне болот — булар азырынча ачык. Аларды сыноо машыгуусунда аткара алган кабыл алуу этаптарына айландырыңыз, ошондо чечим маалымат барагынын канчалык ишендирүүчү экенине көз каранды болбой калат. Төмөнкү барак — ошол далилдер үчүн түзүлүш, продукциялардын рейтинги эмес.
Жеткирүүчү бул жайгаштыруу жөнүндө эмнени ырастоосу керек
Жайгаштырууну бир баракка батыруудан баштаңыз: гипервизор же булут, коноктун архитектурасы, колдоого алынган образ жана түзмөк күткөн интерфейстер. Колдонуучуларды алардын операциялык системалары менен, түзмөктөр башкарылабы, жана каттоо менен кирүү кандай иштеши керектигин кошуңуз. Андан кийин жеке жетүү: колдонмолор жана префикстер, DNS жайгаштыруу, кайтаруу жолдору жана коомдук интернет чыгымы сунуштун бөлүгүбү.
Иштетүү да ошол эле баракка тиешелүү: кутуну ким тейлейт, жаңыртуулар кайдан келет, журналдар кайда кетет, конфигурация кантип корголот жана бизнес чындыгында кайсы калыбына келтирүү максатына макул болду. Жеткирүүчүдөн программа виртуалдык машинада иштегенин эмес, так ошол айкалышты ырастоосун сураныңыз. Сырткы көз карандылыктарды, мисалы идентификация провайдерин же лицензиялоо кызматын, көрүнүктүү кармаңыз, анткени алар аны менен бирге жеткирилсе да, жеткирилбесе да жайгаштыруунун бөлүгү. Аталган көз карандылыгы жок жайгаштыруу барагы адатта белгисиз көз карандылыгы бар жайгаштыруу барагы.
Экинчи фактор чындыгында экинчи фактор экенин далилдеңиз
Аутентификаторду жана текшерүү агымын атап, ар бир кадам кайсы инсандыкты орноторун айтыңыз. Катары менен эки сырсөз суроо экинчи фактор эмес, ал эми сырсөз жана бир жолу колдонулуучу код кызматка байланган криптографиялык аутентификатордон башка билдирүү. Сиз сатып алган агымды жазыңыз, кутучадагы белгини эмес.
Фишингге туруктуулук өзүнчө касиет, жана NIST-тин аутентификаторлор боюнча көрсөтмөсү аны так ушундай карайт: колдонуучуну алдап өткөрүп жиберүүгө боло турган код көп факторлуу аутентификацияны дагы эле канааттандырат, бирок ошол кошумча шартта ийгиликсиз болот. Эгер бул сиз үчүн маанилүү болсо, касиетти ачык талап кылыңыз. Андан кийин колдонуучуларыңыз чындыгында иштеткен кардар түрүнөн көрсөтүүнү талап кылыңыз, ал каттоону, четке кагылган же мөөнөтү бүткөн чакырыкты, жоголгон аутентификатордон кийинки калыбына келтирүүнү жана башкалар туташ турганда бир колдонуучуну жокко чыгарууну камтыйт. Шлюздун инсандыгын текшерүүнү чөйрөдө кармаңыз, анткени каалаган шлюзга ишенген кардар маселени чечпей, ордун которду.
Бир нерсени бузбастан мурун өтүү шартын жазыңыз
Төмөнкү таблица — барактын жеткирүүчү менен жолугушууга туруштук берген бөлүгү, анткени ар бир сап кепилдиктин ордуна далил талап кылат. Өтүү шартын машыгуудан мурун толтуруңуз жана далилсиз сапты ийгиликсиз сап деп эсептеңиз. Беш этап шлюз эмне кылышы керектигин камтыйт.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Каттоо биринчи турат, анткени андан кийинкинин баары ага көз каранды: каттала албаган түзмөктү сыноого болбойт. Кирүү каттоодон өзүнчө этап, ал эми баш тартуу — көп барактар унуткан этап, анткени баарын киргизген шлюз бирөөгө баш тартарын далилдеген эмес. Жокко чыгаруу жана калыбына келтирүү операциялык тобокелдиктин көп бөлүгүн көтөрөт, жана экөөнү тең көчүрмөдө арзан машыктырууга болот.
Тирүү шлюзда эмес, көчүрмөдө машыгыңыз
Бузуучу этаптарды платформанын көчүрмөсүндө, колдоого алынган жайгаштыруу процедурасын аткарып өткөрүңүз жана ар бир далилди күнү жана конфигурация версиясы менен сактаңыз. Кайра жүктөө сабына консолдон кайра жүктөө жооп эмес, ал эми калыбына келтирүү сабына конфигурацияны экспорттоо жооп эмес. Кайсы абал өзүнөн өзү кайтарын жана эмнени кайра туташтыруу керектигин белгилеңиз, анткени так ошол айырманы иштетүү тобу мураска алат. Машыгуу — үзгүлтүктү түшүндүрбөстөн калыбына келтирүүнүн убактысын өлчөөнүн да жалгыз мүмкүнчүлүгү.
Ар бир сыноонун учурундагы идентификация провайдеринин абалын жазып туруңуз, анткени соо провайдерге каршы сыналган иштебей калуу сабы барак айткандын тескерисин далилдейт. Бир машыгуудагы эки рецензент ар башка нерселерди кармайт, ал эми экинчиси адатта далили башкаруу панелинин скриншоту болгон сапты табат. Ошол далилди тиешелүү сабына бекитип кармаңыз, долбоордун атындагы папкада эмес.
Тобуңуз аткара турган жүктөмдү өлчөңүз
Кадимки аптага окшош жүктөм тууралуу келишиңиз, андан кийин аны жайгаштыргыңыз келген жерде өлчөңүз: бир убакыттуулук, трафик аралашмасы жана топто чындыгында бар тейлөө терезеси. Жарнамаланган өткөрүү жөндөмдүүлүгүнүн саны лабораториялык шартты сүрөттөйт жана колдонуучуларыңыз жөнүндө эч нерсе айтпайт. Калыбына келтирүүнү планга эмес, калыбына келтирүү максатына каршы өлчөңүз.
Барак ар бир этаптын далили жана ар бир далилдин күнү болгондо бүтөт. Биреө тейлеген түзмөк, ар бир сапка далил менен, белгиленген кутучалардын эң узун тизмесинен башка сатып алуу.