Две VPN порти по ред: што всушност одлучува секоја
Две VPN етапи по ред треба да значат две одделни одлуки за дозвола. Именувајте што проверува секоја порта, потоа тестирајте што одбива внатрешната.
Верижното поврзување на две VPN обично се продава како дополнително шифрирање, што е најмалку интересното нешто што го прави. Вистинскиот производ е втора одлука за авторизација, донесена од друг сопственик врз друг сет ресурси. Ако двете етапи прифаќаат исти акредитив и стигнуваат до исти одредишта, внатрешната порта е украс со дополнително задоцнување. Одлуката дали таа втора одлука вреди за своите оперативни трошоци започнува со именување на тоа што секоја порта всушност проверува.
Еден тунел, потоа втора одлука
Надворешната порта одговара на широко прашање: дали ова е одобрен уред на вработен и смее ли да стигне до општата внатрешна мрежа. Внатрешната порта одговара на потесно: дали овој идентитет го носи правото за одржување и смее ли да стигне до овие конкретни управувачки крајни точки. Тоа се различни прашања со различни сопственици и ниту едно не го подразбира другото. Постоењето на пат низ двете етапи не е овластување да се користи тоа што стои зад втората. Стигнувањето до далечниот влез докажува дека рутата работи, и ништо повеќе.
Принципот е стар и сѐ уште се игнорира: мрежната локација сама по себе не аргументира ништо. Резиме на NIST архитектурата на нулта доверба го кажува јасно, отфрлајќи ја имплицитната доверба што произлегува од тоа од каде дојде врската или кој го поседува мрежниот простор. Применето овде, пристигнувањето на внатрешниот влез е предуслов за неговите ресурси, никогаш дозвола да се користат.
Запишете што проверува секоја порта
За секоја етапа запишете го идентитетот што го проверува, одредиштата што ги дозволува и условите под кои може да се прескокне. Надворешната порта може законски да дозволува обични внатрешни услуги плус слушателот на внатрешната порта, и ништо друго. Внатрешната порта може да бара тврдење за улога и да дозволува само управувачките адреси наведени во записот за промена. Апликацијата на далечниот крај го задржува последниот збор за тоа кои операции таа улога смее да ги изврши, така што синџирот додава порта без да ја замени авторизацијата на апликацијата.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Две испуштања тивко го кршат дизајнот. Ако надворешниот домен веќе директно стигнува до секое чувствително одредиште, внатрешната порта е изборна, а не задолжителна. Ако јавен слушател или втора приватна рута нуди истиот пристап, предвидениот пат е една опција меѓу неколку. Доделете сопственик и на секој сет правила и нека нивниот договор ги именува услугите одредишта, дозволените изворни идентитети, приватниот DNS, преводот на адреси и кој одговара кога предавањето не успее. Адреса на која ѝ се верува во надворешната мрежа никогаш не смее да ја замени авторизацијата на внатрешниот домен.
Тестирајте ги случаите на одбивање, не среќниот пат
Успешна врска низ двете порти докажува многу малку, бидејќи тоа е случајот што сите го тестираа при воведувањето. Интересни се случаите кога една етапа поминува, а другата одбива. Три од нив покриваат најголем дел од ризикот и секој има очекуван исход што може да се провери, а не да се расправа.
Со одобрен општ пристап и отсутна чувствителна улога, обичната работа мора да продолжи додека чувствителното одредиште се одбива. Одобрете ги двете етапи и достапниот сет треба да биде крајните точки за одржување наведени во записот за промена, ништо пошироко. Ако правото се отповика среде сесија, договорената политика за сесијата мора да стапи на сила без да го раскине неврзаниот општ пристап. Дали тоа отповикување ја завршува постоечката сесија веднаш или при следната повторна автентикација е одлука за политика што договорот веќе треба да ја содржи. Оној што ги напишал критериумите за прифаќање не е личноста што треба да ги толкува за време на инцидент.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Избројте ги зависностите што ги додадовте
Секоја дополнителна етапа додава компонента што може да откаже и рута што мора правилно да се вгнезди во надворешниот тунел. При делумен отказ надворешниот пат останува горе, додека внатрешниот е недостапен, па корисникот гледа здрава VPN икона покрај услуга што никогаш не одговара.
Проверете ги рутите и правилата за блокирање при отказ, а не само во нормалниот случај. Стандардната рута што ја турка надворешниот тунел може да ја фати сопствената адреса на внатрешната порта, што ја претвора втората етапа во врска што се воспоставува и потоа паѓа. Запишете што треба да остане блокирано додека го нема внатрешниот тунел, бидејќи случајно повлекување околу него е полошо од чисто прекинување. Користете ист облик на сонда на двата скока, за секој да биде измерен, а не претпоставен. Два индикатора за поврзаност не воспоставуваат ни вгнездување ни изолација.
Што не може да ви купи втората порта
Прашајте дали двете порти делат акредитив, сертификациско тело или управувачка рамнина. Каде делат, тие ги делат и нивните најважни режими на отказ, а втората етапа чини повеќе од независноста што навидум ја додава. Одделните криптографски сесии не создаваат одделни административни контроли.
Задржете ја внатрешната порта додека таа спроведува барање што можете да го изразите и тестирате, како улога што надворешниот домен никогаш не ја проверува. Отстранете ја кога нејзината единствена работа е повторно да го автентикува истиот идентитет кон истите одредишта. Во секој случај, запишете го барањето, сопственикот и однесувањето при отказ заедно, за следниот преглед да расправа за барањето, а не за дијаграмот.