പരമ്പരയായി രണ്ട് VPN ഗേറ്റുകൾ: ഓരോന്നും യഥാർത്ഥത്തിൽ എന്താണ് തീരുമാനിക്കുന്നത്
പരമ്പരയായി രണ്ട് VPN ഘട്ടങ്ങൾ എന്നാൽ രണ്ട് വേറിട്ട അനുമതി തീരുമാനങ്ങൾ എന്നാകണം. ഓരോ ഗേറ്റും എന്ത് പരിശോധിക്കുന്നു എന്ന് പേരിടുക, പിന്നെ ഉള്ളിലെ ഗേറ്റ് എന്ത് നിരസിക്കുന്നു എന്ന് പരീക്ഷിക്കുക.
രണ്ട് VPN-കൾ ശൃംഖലയാക്കി ചേർക്കുന്നത് സാധാരണയായി അധിക എൻക്രിപ്ഷനായി വിൽക്കുന്നു, അതാണ് അത് ചെയ്യുന്ന ഏറ്റവും കുറഞ്ഞ താൽപ്പര്യമുള്ള കാര്യം. യഥാർത്ഥ ഉൽപ്പന്നം രണ്ടാമത്തെ അധികാര തീരുമാനമാണ്, മറ്റൊരു ഉടമ മറ്റൊരു വിഭവ കൂട്ടത്തിനെതിരെ എടുക്കുന്നത്. രണ്ട് ഘട്ടങ്ങളും ഒരേ ക്രെഡൻഷ്യൽ സ്വീകരിച്ച് ഒരേ ലക്ഷ്യസ്ഥാനങ്ങളിൽ എത്തുന്നുവെങ്കിൽ, ഉള്ളിലെ ഗേറ്റ് അധിക കാലതാമസത്തോടെയുള്ള അലങ്കാരമാണ്. ആ രണ്ടാമത്തെ തീരുമാനം അതിന്റെ പ്രവർത്തന ചെലവിന് അർഹമാണോ എന്ന് തീരുമാനിക്കുന്നത് ഓരോ ഗേറ്റും യഥാർത്ഥത്തിൽ എന്ത് പരിശോധിക്കുന്നു എന്ന് പേരിടുന്നതിൽ നിന്നാണ് ആരംഭിക്കുന്നത്.
ഒരു ടണൽ, പിന്നെ രണ്ടാമത്തെ തീരുമാനം
പുറത്തെ ഗേറ്റ് വിശാലമായ ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഇത് അംഗീകൃത ജീവനക്കാരന്റെ ഉപകരണമാണോ, പൊതു ആന്തരിക നെറ്റ്വർക്കിൽ എത്താമോ. ഉള്ളിലെ ഗേറ്റ് ഇടുങ്ങിയതിന്: ഈ ഐഡന്റിറ്റിക്ക് അറ്റകുറ്റപ്പണി അവകാശമുണ്ടോ, ഈ നിർദ്ദിഷ്ട മാനേജ്മെന്റ് എൻഡ്പോയിന്റുകളിൽ എത്താമോ. ഇവ വ്യത്യസ്ത ഉടമകളുള്ള വ്യത്യസ്ത ചോദ്യങ്ങളാണ്, ഒന്നും മറ്റൊന്നിനെ സൂചിപ്പിക്കുന്നില്ല. രണ്ട് ഘട്ടങ്ങളിലൂടെയുള്ള ഒരു പാതയുടെ നിലനിൽപ്പ് രണ്ടാമത്തേതിന് പിന്നിലുള്ളത് ഉപയോഗിക്കാനുള്ള അധികാരമല്ല. അകലെയുള്ള പ്രവേശന കവാടത്തിൽ എത്തുന്നത് ഒരു പാത പ്രവർത്തിക്കുന്നു എന്ന് തെളിയിക്കുന്നു, അതിൽ കൂടുതലല്ല.
തത്വം പഴയതാണ്, ഇപ്പോഴും അവഗണിക്കപ്പെടുന്നു: നെറ്റ്വർക്ക് സ്ഥാനം സ്വയം ഒന്നും സമർത്ഥിക്കുന്നില്ല. NIST-ന്റെ പൂജ്യ-വിശ്വാസ ആർക്കിടെക്ചർ സാരാംശം അത് വ്യക്തമായി പറയുന്നു, ഒരു കണക്ഷൻ എവിടെ നിന്ന് വന്നു അല്ലെങ്കിൽ നെറ്റ്വർക്ക് ആരുടേതാണ് എന്നതിൽ നിന്ന് ഉണ്ടാകുന്ന സൂചിത വിശ്വാസം നിരസിക്കുന്നു. ഇവിടെ പ്രയോഗിക്കുമ്പോൾ, ഉള്ളിലെ പ്രവേശന കവാടത്തിൽ എത്തുന്നത് അതിന്റെ വിഭവങ്ങൾക്കുള്ള മുൻവ്യവസ്ഥയാണ്, അവ ഉപയോഗിക്കാനുള്ള അനുമതി ഒരിക്കലുമല്ല.
ഓരോ ഗേറ്റും എന്ത് പരിശോധിക്കുന്നു എന്ന് എഴുതുക
ഓരോ ഘട്ടത്തിനും, അത് പരിശോധിക്കുന്ന ഐഡന്റിറ്റി, അത് അനുവദിക്കുന്ന ലക്ഷ്യസ്ഥാനങ്ങൾ, ഒഴിവാക്കാവുന്ന വ്യവസ്ഥകൾ എന്നിവ രേഖപ്പെടുത്തുക. പുറത്തെ ഗേറ്റിന് സാധാരണ ആന്തരിക സേവനങ്ങളും ഉള്ളിലെ ഗേറ്റിന്റെ ശ്രോതാവും നിയമപരമായി അനുവദിക്കാം, അതിൽ കൂടുതലില്ല. ഉള്ളിലെ ഗേറ്റിന് റോൾ അവകാശവാദം ആവശ്യപ്പെടാം, മാറ്റ രേഖയിൽ പേരിട്ട മാനേജ്മെന്റ് വിലാസങ്ങൾ മാത്രം അനുവദിക്കാം. അകലെയുള്ള അറ്റത്തെ ആപ്ലിക്കേഷൻ ആ റോളിന് ഏത് പ്രവർത്തനങ്ങൾ ചെയ്യാമെന്നതിൽ അന്തിമ വാക്ക് സൂക്ഷിക്കുന്നു, അതിനാൽ ശൃംഖല ആപ്ലിക്കേഷൻ അധികാരം മാറ്റിസ്ഥാപിക്കാതെ ഒരു ഗേറ്റ് കൂട്ടിച്ചേർക്കുന്നു.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
രണ്ട് വിട്ടുപോകലുകൾ രൂപകൽപ്പനയെ നിശബ്ദമായി തകർക്കുന്നു. പുറത്തെ ഡൊമെയ്ൻ ഇതിനകം ഓരോ സംവേദനക്ഷമമായ ലക്ഷ്യസ്ഥാനത്തും നേരിട്ട് എത്തുന്നുവെങ്കിൽ, ഉള്ളിലെ ഗേറ്റ് നിർബന്ധമല്ല, ഓപ്ഷണലാണ്. പൊതു ശ്രോതാവോ രണ്ടാമത്തെ സ്വകാര്യ പാതയോ അതേ പ്രവേശനം നൽകുന്നുവെങ്കിൽ, ഉദ്ദേശിച്ച പാത പല ഓപ്ഷനുകളിൽ ഒന്നാണ്. ഓരോ നിയമ കൂട്ടത്തിനും ഉടമയെ നിയമിക്കുക, അവരുടെ കരാർ ലക്ഷ്യ സേവനങ്ങൾ, അനുവദിച്ച ഉറവിട ഐഡന്റിറ്റികൾ, സ്വകാര്യ DNS, വിലാസ വിവർത്തനം, കൈമാറ്റം പരാജയപ്പെടുമ്പോൾ ആര് ഉത്തരം നൽകുന്നു എന്നിവ പേരിടട്ടെ. പുറത്തെ നെറ്റ്വർക്കിൽ വിശ്വസിക്കുന്ന ഒരു വിലാസം ഉള്ളിലെ ഡൊമെയ്നിന്റെ അധികാരത്തിന് പകരമാകരുത്.
നിരസിക്കൽ കേസുകൾ പരീക്ഷിക്കുക, സുഖകരമായ പാതയല്ല
രണ്ട് ഗേറ്റുകളിലൂടെയുള്ള വിജയകരമായ കണക്ഷൻ വളരെ കുറച്ച് മാത്രമേ തെളിയിക്കുന്നുള്ളൂ, കാരണം വിന്യാസ സമയത്ത് എല്ലാവരും പരീക്ഷിച്ച കേസാണത്. താൽപ്പര്യമുള്ള കേസുകൾ ഒരു ഘട്ടം കടന്ന് മറ്റൊന്ന് നിരസിക്കുന്നതാണ്. അവയിൽ മൂന്ന് മിക്ക റിസ്കും ഉൾക്കൊള്ളുന്നു, ഓരോന്നിനും വാദത്തിന് പകരം പരിശോധിക്കാവുന്ന പ്രതീക്ഷിത ഫലമുണ്ട്.
പൊതു പ്രവേശനം അംഗീകരിച്ച് സംവേദനക്ഷമമായ റോൾ ഇല്ലാത്തപ്പോൾ, സംവേദനക്ഷമമായ ലക്ഷ്യസ്ഥാനം നിരസിക്കപ്പെടുമ്പോൾ സാധാരണ ജോലി തുടരണം. രണ്ട് ഘട്ടങ്ങളും അംഗീകരിക്കുക, എത്തിച്ചേരാവുന്ന കൂട്ടം മാറ്റ രേഖയിൽ പേരിട്ട അറ്റകുറ്റപ്പണി എൻഡ്പോയിന്റുകളായിരിക്കണം, അതിൽ വിശാലമല്ല. സെഷന് നടുവിൽ അവകാശം റദ്ദാക്കിയാൽ, സമ്മതിച്ച സെഷൻ നയം ബന്ധമില്ലാത്ത പൊതു പ്രവേശനം തകർക്കാതെ പ്രാബല്യത്തിൽ വരണം. ആ റദ്ദാക്കൽ നിലവിലുള്ള സെഷൻ ഉടനടി അവസാനിപ്പിക്കുന്നുവോ അടുത്ത പുനഃപ്രാമാണീകരണത്തിലോ എന്നത് കരാറിൽ ഇതിനകം ഉണ്ടായിരിക്കേണ്ട നയ തീരുമാനമാണ്. സ്വീകാര്യതാ കേസുകൾ എഴുതിയത് സംഭവ സമയത്ത് അവ വ്യാഖ്യാനിക്കേണ്ട വ്യക്തിയല്ല.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"കൂട്ടിച്ചേർത്ത ആശ്രിതത്വങ്ങൾ എണ്ണുക
ഓരോ അധിക ഘട്ടവും പരാജയപ്പെടാവുന്ന ഒരു ഘടകവും പുറത്തെ ടണലിനുള്ളിൽ ശരിയായി കൂടുവേക്കേണ്ട ഒരു പാതയും കൂട്ടിച്ചേർക്കുന്നു. ഭാഗിക പരാജയ സമയത്ത് പുറത്തെ പാത നിലനിൽക്കുമ്പോൾ ഉള്ളിലേത് എത്തിച്ചേരാനാവില്ല, അതിനാൽ ഉപയോക്താവ് ഒരിക്കലും ഉത്തരം നൽകാത്ത സേവനത്തിന് അരികിൽ ആരോഗ്യകരമായ VPN ഐക്കൺ കാണുന്നു.
സാധാരണ സാഹചര്യത്തിൽ മാത്രമല്ല, പരാജയത്തിൽ പാതകളും തടയൽ നിയമങ്ങളും പരിശോധിക്കുക. പുറത്തെ ടണൽ തള്ളുന്ന ഡിഫോൾട്ട് പാത ഉള്ളിലെ ഗേറ്റിന്റെ സ്വന്തം വിലാസം പിടിച്ചെടുക്കാം, അത് രണ്ടാം ഘട്ടത്തെ സ്ഥാപിക്കപ്പെട്ട് പിന്നീട് വീഴുന്ന കണക്ഷനാക്കി മാറ്റുന്നു. ഉള്ളിലെ ടണൽ ഇല്ലാത്തപ്പോൾ എന്ത് തടയപ്പെട്ട് തുടരണം എന്ന് രേഖപ്പെടുത്തുക, കാരണം അതിന് ചുറ്റുമുള്ള ആകസ്മിക പിൻവാങ്ങൽ വൃത്തിയുള്ള തടസ്സത്തേക്കാൾ മോശമാണ്. രണ്ട് ഹോപ്പുകളിലും ഒരേ പരിശോധനാ രൂപം ഉപയോഗിക്കുക, ഓരോന്നും അനുമാനിക്കപ്പെടുന്നതിന് പകരം അളക്കപ്പെടട്ടെ. രണ്ട് കണക്റ്റുചെയ്ത സ്ഥിതി സൂചകങ്ങൾ കൂടുവേക്കലോ വേർതിരിക്കലോ സ്ഥാപിക്കുന്നില്ല.
രണ്ടാം ഗേറ്റിന് നിങ്ങൾക്കായി വാങ്ങാനാവാത്തത്
രണ്ട് ഗേറ്റുകളും ഒരു ക്രെഡൻഷ്യൽ, ഒരു സർട്ടിഫിക്കറ്റ് അധികാരി, അല്ലെങ്കിൽ ഒരു മാനേജ്മെന്റ് തലം പങ്കിടുന്നുണ്ടോ എന്ന് ചോദിക്കുക. പങ്കിടുന്നിടത്ത്, അവരുടെ ഏറ്റവും പ്രധാനപ്പെട്ട പരാജയ മോഡുകളും പങ്കിടുന്നു, രണ്ടാം ഘട്ടം അത് കൂട്ടിച്ചേർക്കുന്നതായി തോന്നുന്ന സ്വാതന്ത്ര്യത്തേക്കാൾ ചെലവേറിയതാണ്. വേറിട്ട ക്രിപ്റ്റോഗ്രാഫിക് സെഷനുകൾ വേറിട്ട ഭരണ നിയന്ത്രണങ്ങൾ സൃഷ്ടിക്കുന്നില്ല.
നിങ്ങൾക്ക് പറയാനും പരീക്ഷിക്കാനും കഴിയുന്ന ഒരു ആവശ്യകത ഉള്ളിലെ ഗേറ്റ് നടപ്പാക്കുന്നിടത്തോളം അത് നിലനിർത്തുക, ഉദാഹരണത്തിന് പുറത്തെ ഡൊമെയ്ൻ ഒരിക്കലും പരിശോധിക്കാത്ത ഒരു റോൾ. അതിന്റെ ഏക ജോലി അതേ ഐഡന്റിറ്റിയെ അതേ ലക്ഷ്യസ്ഥാനങ്ങൾക്കെതിരെ വീണ്ടും പ്രാമാണീകരിക്കുകയെന്നതാകുമ്പോൾ അത് നീക്കം ചെയ്യുക. ഏതായാലും, ആവശ്യകത, ഉടമ, പരാജയ സ്വഭാവം എന്നിവ ഒരുമിച്ച് രേഖപ്പെടുത്തുക, അടുത്ത അവലോകനം ഡയഗ്രമിനെക്കുറിച്ചല്ല, ആവശ്യകതയെക്കുറിച്ച് വാദിക്കട്ടെ.