Divi VPN vārti pēc kārtas: ko katrs patiesībā izlemj
Divi VPN posmi pēc kārtas nozīmē divus atsevišķus atļaujas lēmumus. Nosauciet, ko pārbauda katri vārti, tad pārbaudiet, ko atsaka iekšējie.
Divu VPN ķēdēšana parasti tiek pārdota kā papildu šifrēšana, kas ir vismazāk interesantā lieta, ko tā dara. Īstais produkts ir otrs autorizācijas lēmums, ko pieņem cits īpašnieks par citu resursu kopu. Ja abi posmi pieņem vienus un tos pašus akreditācijas datus un sasniedz tos pašus galamērķus, iekšējie vārti ir dekorācija ar papildu latentumu. Lēmums, vai šis otrais lēmums ir sava darbības izmaksu vērts, sākas ar to, ka nosaucam, ko katri vārti patiesībā pārbauda.
Viens tunelis, tad otrs lēmums
Ārējie vārti atbild uz plašu jautājumu: vai šī ir apstiprināta darbinieka ierīce un vai tā drīkst sasniegt vispārējo iekšējo tīklu. Iekšējie vārti atbild uz šaurāku: vai šai identitātei ir uzturēšanas tiesības un vai tā drīkst sasniegt šos konkrētos pārvaldības galapunktus. Tie ir dažādi jautājumi ar dažādiem īpašniekiem, un neviens neizriet no otra. Ceļa esamība cauri abiem posmiem nav pilnvaras izmantot to, kas atrodas aiz otrā. Sasniegt tālo ieeju pierāda, ka maršruts strādā, un neko vairāk.
Princips ir sens un joprojām ignorēts: tīkla atrašanās vieta pati par sevi neko neargumentē. NIST nulles uzticības arhitektūras kopsavilkums to saka skaidri, noraidot netiešu uzticību, kas izriet no tā, no kurienes nāca savienojums vai kam pieder tīkls. Šeit piemērojot, nonākšana pie iekšējās ieejas ir tās resursu priekšnosacījums, nekad atļauja tos izmantot.
Pierakstiet, ko pārbauda katri vārti
Katram posmam ierakstiet identitāti, ko tas pārbauda, galamērķus, ko tas atļauj, un nosacījumus, kādos to var izlaist. Ārējie vārti drīkst likumīgi atļaut parastos iekšējos pakalpojumus plus iekšējo vārtu klausītāju, un neko citu. Iekšējie vārti var pieprasīt lomas prasību un atļaut tikai pārmaiņu ierakstā nosauktās pārvaldības adreses. Lietojumprogramma tālajā galā patur pēdējo vārdu par to, kādas darbības šī loma drīkst veikt, tāpēc ķēde pievieno vārtus, neaizstājot lietojumprogrammas autorizāciju.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Divi izlaidumi klusi salauž dizainu. Ja ārējais domēns jau tieši sasniedz katru jutīgo galamērķi, iekšējie vārti ir neobligāti, nevis obligāti. Ja publisks klausītājs vai otrs privātais maršruts piedāvā tādu pašu piekļuvi, paredzētais ceļš ir viena iespēja starp vairākām. Piešķiriet īpašnieku arī katrai noteikumu kopai un lieciet viņu līgumam nosaukt galamērķa pakalpojumus, atļautās avota identitātes, privāto DNS, adrešu tulkošanu un to, kas atbild, kad nodošana neizdodas. Adrese, kurai uzticas ārējā tīklā, nekad nedrīkst aizstāt iekšējā domēna autorizāciju.
Pārbaudiet atteikuma gadījumus, nevis laimīgo ceļu
Veiksmīgs savienojums caur abiem vārtiem pierāda ļoti maz, jo tas ir gadījums, ko visi pārbaudīja ieviešanas laikā. Interesanti ir gadījumi, kad viens posms pāriet un otrs atsaka. Trīs no tiem nosedz lielāko daļu riska, un katram ir sagaidāms iznākums, ko var pārbaudīt, nevis apspriest.
Ar apstiprinātu vispārēju piekļuvi un jutīgās lomas neesamību parastajam darbam jāturpinās, kamēr jutīgais galamērķis tiek atteikts. Apstipriniet abus posmus, un sasniedzamajai kopai jābūt pārmaiņu ierakstā nosauktajiem uzturēšanas galapunktiem, nekas plašāks. Ja tiesības tiek atsauktas sesijas vidū, saskaņotajai sesijas politikai jāstājas spēkā, nesaraujot nesaistītu vispārēju piekļuvi. Vai šī atsaukšana izbeidz esošo sesiju uzreiz vai nākamajā atkārtotajā autentifikācijā, ir politikas lēmums, kam līgumā jau jābūt. Tas, kurš rakstīja pieņemšanas gadījumus, nav tas cilvēks, kam tie jāinterpretē incidenta laikā.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Saskaitiet pievienotās atkarības
Katrs papildu posms pievieno komponentu, kas var sabojāties, un maršrutu, kam pareizi jāievietojas ārējā tunelī. Daļējas kļūmes laikā ārējais ceļš paliek augšā, bet iekšējais ir nesasniedzams, tāpēc lietotājs redz veselīgu VPN ikonu blakus pakalpojumam, kas nekad neatbild.
Pārbaudiet maršrutus un bloķēšanas noteikumus kļūmes laikā, nevis tikai parastajā gadījumā. Ārējā tuneļa virzītais noklusējuma maršruts var pārtvert pašu iekšējo vārtu adresi, kas otro posmu pārvērš savienojumā, kas izveidojas un pēc tam nokrīt. Ierakstiet, kam jāpaliek bloķētam, kamēr nav iekšējā tuneļa, jo nejauša atkāpšanās ap to ir sliktāka par tīru pārtraukumu. Izmantojiet vienu un to pašu zondes formu abos lēcienos, lai katrs tiktu mērīts, nevis pieņemts. Divi savienoti statusa indikatori nepierāda ne iegulšanu, ne izolāciju.
Ko otrie vārti jums nevar nopirkt
Jautājiet, vai abi vārti dala akreditācijas datus, sertifikācijas iestādi vai pārvaldības plakni. Kur dala, tie dala arī savus svarīgākos kļūmes režīmus, un otrais posms izmaksā vairāk nekā neatkarība, ko tas šķietami pievieno. Atsevišķas kriptogrāfiskās sesijas nerada atsevišķas administratīvās kontroles.
Paturiet iekšējos vārtus, kamēr tie īsteno prasību, ko varat formulēt un pārbaudīt, piemēram, lomu, ko ārējais domēns nekad nepārbauda. Noņemiet tos, kad vienīgais to darbs ir atkārtoti autentificēt to pašu identitāti pret tiem pašiem galamērķiem. Jebkurā gadījumā ierakstiet prasību, īpašnieku un kļūmes uzvedību kopā, lai nākamā pārskatīšana strīdētos par prasību, nevis par diagrammu.