Дараалан хоёр VPN хаалга: тус бүр юугаар шийддэг вэ
Дараалан хоёр VPN үе шат нь хоёр тусдаа зөвшөөрлийн шийдвэр байх ёстой. Хаалга тус бүр юу шалгадгийг нэрлээд, дотоод хаалга юуг татгалздагийг шалгана уу.
Хоёр VPN-ийг гинжин холбох нь ихэвчлэн нэмэлт шифрлэлт гэж зарагддаг боловч энэ нь түүний хамгийн сонирхолгүй үйлдэл юм. Жинхэнэ бүтээгдэхүүн бол өөр эзэмшигчийн өөр нөөцийн багц дээр гаргах хоёр дахь зөвшөөрлийн шийдвэр юм. Хэрэв хоёр үе шат ижил итгэмжлэлийг хүлээн авч, ижил очих газруудад хүрвэл дотоод хаалга нь нэмэлт саатал бүхий чимэглэл юм. Тэр хоёр дахь шийдвэр нь үйл ажиллагааны зардлаа барах эсэхийг шийдэх нь хаалга бүр юуг шалгадгийг нэрлэхээс эхэлдэг.
Нэг туннель, дараа нь хоёр дахь шийдвэр
Гадаад хаалга нь өргөн асуултад хариулдаг: энэ нь зөвшөөрөгдсөн ажилтны төхөөрөмж мөн үү, ерөнхий дотоод сүлжээнд хүрч болох уу. Дотоод хаалга нь илүү нарийн асуултад: энэ таних тэмдэг үйлчилгээний эрхтэй юу, эдгээр тодорхой удирдлагын төгсгөлийн цэгүүдэд хүрч болох уу. Эдгээр нь өөр өөр эзэмшигчтэй өөр өөр асуултууд бөгөөд нэг нь нөгөөгөө агуулахгүй. Хоёр үе шатаар дамжин өнгөрөх зам байгаа нь хоёр дахь хаалганы ард байгаа зүйлийг ашиглах эрх мэдэл биш. Холын орох хаалгад хүрэх нь зам ажиллаж байгааг баталж, үүнээс илүүгүй.
Энэ зарчим хуучин бөгөөд одоо ч үл тоомсорлогддог: сүлжээний байршил өөрөө юуг ч батлахгүй. NIST-ийн тэг итгэлийн архитектурын хураангуй үүнийг тодорхой хэлж, холболт хаанаас ирсэн эсвэл сүлжээг хэн эзэмшдэгээс үүдэх далд итгэлийг үгүйсгэдэг. Энд хэрэглэвэл дотоод орох хаалгад хүрэх нь түүний нөөцийн урьдчилсан нөхцөл бөгөөд тэдгээрийг ашиглах зөвшөөрөл хэзээ ч биш.
Хаалга бүр юу шалгадгийг бичнэ үү
Үе шат бүрийн хувьд шалгах таних тэмдэг, зөвшөөрөх очих газар, алгасаж болох нөхцөлийг бүртгэнэ үү. Гадаад хаалга нь энгийн дотоод үйлчилгээ болон дотоод хаалганы сонсогчийг хуулиар зөвшөөрч болно, өөр юуг ч биш. Дотоод хаалга нь үүргийн шаардлага тавьж, өөрчлөлтийн бүртгэлд нэрлэсэн удирдлагын хаягуудыг л зөвшөөрч болно. Холын төгсгөл дэх програмын хэрэглээ тэр үүрэг ямар үйлдэл хийж болох талаар эцсийн үгийг хадгалдаг тул гинж нь програмын зөвшөөрлийг орлуулахгүйгээр хаалга нэмдэг.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Хоёр орхигдол дизайныг чимээгүй эвддэг. Хэрэв гадаад домэйн аль хэдийн мэдрэмтгий очих газар бүрт шууд хүрдэг бол дотоод хаалга заавал биш, сонголт юм. Хэрэв нийтийн сонсогч эсвэл хоёр дахь хувийн зам ижил хандалтыг санал болговол зорьсон зам нь хэд хэдэн сонголтын нэг юм. Дүрэм бүрд эзэмшигч томилж, тэдний гэрээ нь очих газрын үйлчилгээ, зөвшөөрөгдсөн эх таних тэмдэг, хувийн DNS, хаягийн хөрвүүлэлт, шилжүүлэг бүтэлгүйтэхэд хэн хариулахыг нэрлэх ёстой. Гадаад сүлжээнд итгэдэг хаяг нь дотоод домэйны зөвшөөрлийг хэзээ ч орлуулж болохгүй.
Татгалзах тохиолдлуудыг шалга, азтай замыг биш
Хоёр хаалгаар амжилттай холбогдсон нь маш бага зүйлийг баталдаг, учир нь энэ нь нэвтрүүлэх үед бүгд шалгасан тохиолдол юм. Сонирхолтой нь нэг үе шат дамжиж, нөгөө нь татгалзах тохиолдол юм. Тэдгээрийн гурав нь эрсдэлийн ихэнхийг хамардаг бөгөөд тус бүр маргаан биш, шалгаж болох хүлээгдэж буй үр дүнтэй.
Ерөнхий хандалт зөвшөөрөгдсөн, мэдрэмтгий үүрэг байхгүй үед мэдрэмтгий очих газар татгалзагдаж байхад энгийн ажил үргэлжлэх ёстой. Хоёр үе шатыг зөвшөөрвөл хүрэх боломжтой багц нь өөрчлөлтийн бүртгэлд нэрлэсэн үйлчилгээний төгсгөлийн цэгүүд байх ёстой, үүнээс өргөн биш. Хэрэв эрх сессийн дунд цуцлагдвал тохирсон сессийн бодлого нь хамааралгүй ерөнхий хандалтыг эвдэхгүйгээр хүчин төгөлдөр болох ёстой. Тэр цуцлалт одоо байгаа сессийг даруй дуусгах уу эсвэл дараагийн дахин баталгаажуулалтад дуусгах уу гэдэг нь гэрээнд аль хэдийн байх ёстой бодлогын шийдвэр юм. Хүлээн авах тохиолдлуудыг бичсэн хүн нь ослын үед тэдгээрийг тайлбарлах ёстой хүн биш.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Нэмсэн хамаарлуудыг тоол
Нэмэлт үе шат бүр бүтэлгүйтэж болох бүрэлдэхүүн хэсэг болон гадаад туннелийн дотор зөв орох ёстой замыг нэмдэг. Хэсэгчилсэн гэмтлийн үед гадаад зам дээрээ байх боловч дотоод нь хүрэхгүй байдаг тул хэрэглэгч хэзээ ч хариу өгдөггүй үйлчилгээний хажууд эрүүл VPN дүрсийг хардаг.
Замын чиглэл болон хаалтын дүрмийг зөвхөн хэвийн үед бус, гэмтлийн үед шалга. Гадаад туннелиас түлхсэн анхдагч зам нь дотоод хаалганы өөрийн хаягийг барьж чаддаг бөгөөд энэ нь хоёр дахь үе шатыг тогтоод дараа нь унадаг холболт болгодог. Дотоод туннель байхгүй үед юу хаалттай үлдэх ёстойг бүртгэ, учир нь түүний эргэн тойронд санамсаргүй буцах нь цэвэр тасалдалаас дор. Хоёр үсрэлтэд ижил мэдрэгчийн хэлбэрийг ашигла, тус бүр таамаглахын оронд хэмжигдэх болтугай. Хоёр холбогдсон төлөвийн үзүүлэлт нь орох ч, тусгаарлах ч баталдаггүй.
Хоёр дахь хаалга танд юу худалдаж чадахгүй вэ
Хоёр хаалга нэг итгэмжлэл, сертификатын байгууллага эсвэл удирдлагын хавтгайг хуваалцдаг эсэхийг асуу. Хуваалцдаг газарт тэд хамгийн чухал гэмтлийн горимуудаа ч хуваалцдаг бөгөөд хоёр дахь үе шат нь нэмж байгаа мэт харагдах бие даасан байдлаас илүү өртөгтэй. Тусдаа криптограф сессүүд тусдаа захиргааны хяналт үүсгэдэггүй.
Дотоод хаалгыг та хэлж, шалгаж чадах шаардлагыг хэрэгжүүлж байгаа цагт барина, жишээ нь гадаад домэйн хэзээ ч шалгадаггүй үүрэг. Түүний цорын ганц ажил ижил таних тэмдгийг ижил очих газруудад дахин баталгаажуулах болсон үед хас. Ямар ч тохиолдолд шаардлага, эзэмшигч, гэмтлийн зан төлөвийг хамт бүртгэ, дараагийн хяналт диаграм биш, шаардлагын талаар маргах болтугай.