Zwee VPN-Porten hannereneen: wat jiddwerengen tatsächlech entscheet
Zwee VPN-Stufen hannereneen sollten zwee getrennt Erlaabnes-Entscheedungen bedeiten. Nennt, wat all Port kontrolléiert, a testt dann, wat déi bannenzeg refuséiert.
Zwee VPNen hannereneen ze schalten gëtt meeschtens als zousätzlech Verschlësselung verkaaft, wat dat mannst interessant ass, wat et mécht. D'tatsächlech Produkt ass eng zweet Autorisatiouns-Entscheedung, déi en aneren Eegentümer géint eng aner Rei Ressourcen hëlt. Wa béid Stufen déiselwecht Umeldungsinformatioun akzeptéieren an déiselwecht Ziler erreechen, ass déi bannenzeg Port Dekoratioun mat zousätzlecher Latenz. Ze entscheeden, ob déi zweet Entscheedung hir Betribskäschte wäert ass, fänkt domat un, ze nennen, wat all Port tatsächlech verifizéiert.
Een Tunnel, dann eng zweet Entscheedung
Déi baussenzeg Port beäntwert eng breet Fro: ass dëst en approuvéierten Aarbechtsplaz-Apparat, a däerf en dat allgemengt internen Netz erreechen. Déi bannenzeg Port beäntwert eng méi enk: dréit dës Identitéit d'Maintenance-Berechtegung, a däerf se dës spezifesch Verwaltungs-Endpunkte erreechen. Dat sinn ënnerschiddlech Froen mat ënnerschiddlechen Eegentümer, an keng implizéiert déi aner. En Wee duerch béid Stufen ze hunn ass keng Autoritéit, dat ze benotzen, wat hannert der zweeter läit. Um wäiten Agang unzekommen beweist, datt eng Route funktionéiert, an net méi.
De Prinzip ass al an nach ëmmer ignoréiert: de Netzwierkplaz argumentéiert vun sech aus fir näischt. NIST-Zesummefaassung vun der Null-Vertrauens-Architektur seet et kloer, a refuséiert implizitt Vertrauen, dat aus dem Ursprong vun enger Verbindung oder dem Besëtzer vum Netz follegt. Hei ugewannt ass d'Erreechen vum bannenzegen Agang eng Viraussetzung fir seng Ressourcen, ni d'Erlaabnes, se ze benotzen.
Schreift op, wat all Port verifizéiert
Fir all Stuf notéiert d'Identitéit, déi se kontrolléiert, d'Ziler, déi se erlaabt, an d'Konditiounen, ënner deenen se iwwerspronge ka ginn. Déi baussenzeg Port kann legitimerweis gewéinlech intern Servicer plus de Lauschterer vun der bannenzeger Port erlaben, an näischt anescht. Déi bannenzeg Port kann eng Roll-Ufro verlaangen an nëmmen déi Verwaltungsadressen erlaben, déi am Ännerungsprotokoll genannt sinn. D'Applikatioun um wäiten Enn behält d'lescht Wuert doriwwer, wéi eng Operatiounen déi Roll maache kann, also setzt d'Kette eng Port derbäi, ouni d'Applikatiouns-Autorisatioun ze ersetzen.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Zwee Ausloossungen briechen den Design roueg. Wa déi baussenzeg Domain schonn direkt all sensibel Zil erreecht, ass déi bannenzeg Port optional amplaz obligatoresch. Wa en ëffentleche Lauschterer oder eng zweet privat Route dee selwechten Zougang ubitt, ass de geplangte Wee eng Optioun ënnert e puer. Bestëmmt och en Eegentümer fir all Regel-Set, a loosst hire Kontrakt Zil-Servicer, erlaabten Ursprongs-Identitéiten, privat DNS, Adress-Iwwersetzung a wien äntwert, wann d'Iwwerreechung feelt, nennen. Eng Adress, déi am baussenzegen Netz vertraut gëtt, däerf ni d'Autorisatioun vun der bannenzeger Domain ersetzen.
Test d'Refus-Fäll, net de gléckleche Wee
Eng erfollegräich Verbindung duerch béid Porten beweist ganz wéineg, well dat de Fall ass, deen all während dem Rollout getest huet. Déi interessant Fäll sinn déi, wou eng Stuf duerchkënnt an déi aner refuséiert. Dräi dovun decken de gréissten Deel vum Risiko of, an all huet en erwaarte Resultat, dee kontrolléiert ka ginn amplaz diskutéiert.
Mat approuvéiertem allgemenge Zougang an der sensibeler Roll déi feelt, muss gewéinlech Aarbecht weidergoen, wärend dat sensibel Zil refuséiert gëtt. Approbéiert béid Stufen an de erreechbare Set sollt d'Maintenance-Endpunkte sinn, déi am Ännerungsprotokoll genannt sinn, näischt méi breet. Wann d'Berechtegung an der Mëtt vun enger Sitzung zréckgezunn gëtt, muss déi vereinbart Sitzungspolitik a Kraaft trieden, ouni onverbonnen allgemengen Zougang ofzebauen. Ob dee Réckzuch eng bestoe Sitzung direkt oder bei der nächster Re-Authentifizéierung beendet, ass eng Politik-Entscheedung, déi de Kontrakt schonn enthalen soll. Wien d'Akzeptanzfäll geschriwwen huet, ass net déi Persoun, déi se während engem Tëschefall interpretéiere soll.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Zielt d'Ofhängegkeeten, déi Dir derbäigesat hutt
All zousätzlech Stuf setzt eng Komponent derbäi, déi ka versoen, an eng Route, déi sech richteg an den baussenzegen Tunnel muss abannen. Während engem deelweisen Ausfall bleift de baussenzege Wee uewen, wärend de bannenzegen onerreechbar ass, also gesäit de Benotzer eng gesond VPN-Ikon nieft engem Service, dee ni äntwert.
Kontrolléiert d'Routen an d'Block-Regelen beim Ausfall an net nëmmen am normale Fall. Eng Standardroute, déi vum baussenzegen Tunnel gedréckt gëtt, kann d'Adress vun der bannenzeger Port selwer fangen, wat déi zweet Stuf an eng Verbindung verwandelt, déi sech opbaut an dann fält. Notéiert, wat blockéiert soll bleiwen, wärend den bannenzegen Tunnel feelt, well en zoufällegen Zeréckfall ronderëm et schléchter ass wéi eng propper Ënnerbriechung. Benotzt déiselwecht Prüfform op béide Spréng, sou datt jiddwereen gemooss gëtt amplaz ugeholl. Zwee verbonne Statusindikatoren beleeën weder Abanne fest nach Isolatioun.
Wat déi zweet Port Iech net ka kafen
Frot, ob déi zwou Porten eng Umeldungsinformatioun, eng Zertifizéierungsautoritéit oder eng Verwaltungsebene deelen. Wou se et maachen, deelen se och hir wichtegst Ausfallmodi, an déi zweet Stuf kascht méi wéi d'Onofhängegkeet, déi se schéngt derbäizesetzen. Getrennt kryptografesch Sitzunge schafen keng getrennt administrativ Kontrollen.
Halt déi bannenzeg Port, soulaang se eng Ufuerderung duerchsetzt, déi Dir nenne kann a testen, wéi eng Roll, déi déi baussenzeg Domain ni kontrolléiert. Läscht se, wann hir eenzeg Aufgab ass, déiselwecht Identitéit géint déiselwecht Ziler erëm z'authentifizéieren. Egal wéi, notéiert d'Ufuerderung, den Eegentümer an d'Ausfallverhalen zesummen, sou datt déi nächst Iwwerpréiwung iwwer d'Ufuerderung an net iwwer den Diagramm streit.