Always-on VPN: Wee, Erlaabnis an Sëtzung getrennt

En Tunnel de ganzen Dag an d’Nuecht oppen ze halen ass eng Designentscheedung mat enger raisonnabeler an enger oppassloser Versioun. Eng Filial déi de ganzen Dag eng zentral Applikatioun brauch, plus eng nuets Ersatzsécherung, huet e Grond. En Laptop deen dräi Deeg an engem Hotellszëmmer ugeschloss bleift ass en Accident.

Béid weisen déiselwecht gréng Symbol, a béid äntweren déiselwecht wann ee freet wéi laang den Tunnel oppen ass. Dës Zuel ass net déi interessant. Wat zielt ass wat d’Verbindung verfügbar hält, fir wien, a wat se tatsächlech ophält.

Dräi Aueren déi getrennt lafen

Den éischten Zoustand ass de Wee. En Tunnel a seng Politike maachen eng Rei Servicer erreechbar, an eng Verbindung ouni Trafic kann prett bleiwen fir déi nächst Ufro. Wéi laang se prett bleift ass eng Implementatiounsentscheedung, keen universellen Timer.

Den zweeten Zoustand ass d’Erlaabnis. Eng akzeptéiert Identitéit oder en Apparat kann autoriséiert sinn dee Wee ze benotzen. Dës Autorisatioun soll sech änneren wann eng Roll sech ändert, en Apparat verschwënnt oder Verdacht op Kompromittéierung besteet, an se ass onofhängeg dovun ob Pakete fléissen.

Den drëtten Zoustand ass d’Sëtzung vun der Applikatioun selwer. En Datebank-Client, en Fern-Desktop oder eng Webapplikatioun authentifizéiert sech getrennt a behält säin eegene Zoustand. Den Tunnel zoumaachen ophält net onbedéngt eng dovun.

Eng Iwwerpréiwung déi dës dräi als eng Fro behandelt endt an enger Debatt iwwer Idle-Timeren. Jiddereen vun den dräi kann eenzel gesond oder futti sinn, an eng Entdeckung an engem seet wéineg iwwer déi aner. Eng Checklist mat dräi Zeilen ass besser wéi eng Debatt iwwer een eenzegen Timeout-Wäert. Schreift d’Äntwert fir all Zoustand getrennt.

Den Tunnel ass e Wee, keen Abzeichen

En etabléierten Tunnel ass de Beweis datt et en geschützte Wee tëscht zwee Enner gëtt. Et ass keen Beweis datt all Prozess hannert engem Enn all Service op der anerer Säit erreeche muss.

D’NIST-Richtlinne fir Null-Vertrauen soen datselwecht aus der anerer Richtung: de Netzwierkplaz soll net als implizitt Vertraue behandelt ginn. Eng Standortverbindung ass en Transportfakt, an d’Erlaabnis fir een Host eng Applikatioun ze benotzen ass eng getrennt Entscheedung mat sengem eegene Besëtzer.

En kompromittéierte Partner kann nach ëmmer schiedlech Aktiounen iwwer Servicer versichen déi en erreeche darf. Filteren an Iwwerwaachung reduzéieren eenzel Risiken ouni d’Konsequenze vun der Kompromittéierung vum Enn ze läschelen. Entwéckelt fir de Wee a gitt Erlaabnis fir de Service.

Eng permanent Standortverbindung begrënnen

Déi verdedegbar Versioun vum ëmmer-op nennt säin Zweck genee. Wéi eng Quellen, wéi eng Destinatiounen, wéi eng Richtung, a wien all Aschreiwung besëtzt. Eng Filial-Firewall déi all Filialhost all zentral Subnetz erlaabt huet keng Verbindung fir en genannten Zweck gehal; se huet se fir alles gehal wat iergendeen sech méi spéit ausdenkt.

Wou e Partner den erfuerderlechen Vertrauensniveau net erreecht, verengt d’Grenz oder ännert d’Arrangement. Sech op heiansdo manuell Trennung ze verloossen ass eng Prozesskontroll, a Prozesskontrollen sinn am mannsten zouverlässeg just wann en Incident se onbequem mécht.

Hält d’Begrënnung bei der Konfiguratioun. Eng permanent Ausnam mat engem geschriwwenen Zweck kann iwwerpréift an zréckgezu ginn. Eng ouni Zweck gëtt standardméisseg permanent.

Schlësselen austauschen ass keng Zréckzuch

Schlësselen no engem Plang ersetzen hält de Schutz-Liewenszyklus. Et erfrëscht Material a behält d’Vertraulechkeet. Et hëlt awer engem Enn seng Berechtegung net ewech.

Wann d’Enn nach gülteg Umeldungsdaten an eng Zougangspolitik huet déi en akzeptéiert, restauréiert déi nächst Verhandlung deeselwechte erlaabte Wee. Dofir ass stonneweis Schlësselrotatioun keng Äntwert op en verluerenen Apparat: de verluerenen Apparat rotéiert och, soulaang seng Identitéit nach vertraut gëtt. Iwwerpréift d’Berechtegung virum Plang. Rotatioun ass Hygiène, an Zréckzuch ass eng Zougangsentscheedung.

Zréckzuch ass en aneren Mechanismus mat senger eegener Latenz: en zréckgezunn Zertifikat, en deaktivéierte Kont, eng geännert Grupp, eng ewechgeholl Netzwierkregel. Jiddereen wierkt op engem aneren Zäitpunkt, a jiddereen verhält sech anescht fir Sëtzungen déi schonn etabléiert sinn.

Ophalen wat schonn leeft

Frot wat d’Implementatioun mat etabléierte Sëtzungen mécht wann den Zougang ewechgeholl gëtt. Se kann se ophalen, op d’Ofleef waarden oder eng dokumentéiert Verhalen dertëscht uwenden. Halt net un datt d’muer Ännerung vun der Admission déi haut Applikatiounsverbindung zoumécht.

Fir interaktiven Zougang, setzt Sëtzungslimiten an Inaktivitéitsregelen an d’Hänn vun den Identitéits- a VPN-Besëtzer an net nëmmen an déi vum Netzwierkteam. Fir e Standortservice, bestëmmt d’Prozedur déi Ënnerhalt, en Ausfall oder en Sécherheetsincident benotzt fir den Zougang ofzeschalten.

Testt dann dräi Resultater: erlaabte Aarbecht fonctionéiert nach, en onverbonne Service gëtt refuséiert, an d’Ewechhuelprozedur gëtt dat dokumentéiert Resultat. En ëmmer-op Design ass akzeptabel wann säin Zweck, seng Autorisatioun a seng Fäegkeet ofzeschalten all opgeschriwwen an exercéiert sinn. Soss ass et eng Bequemlechkeet déi säi Grond iwwerlieft huet.