Dua gerbang VPN berturut-turut: apa yang sebenarnya diputuskan setiap satu
Dua peringkat VPN berturut-turut sepatutnya bermaksud dua keputusan kebenaran yang berasingan. Namakan apa yang diperiksa setiap gerbang, kemudian uji apa yang ditolak gerbang dalam.
Merangkai dua VPN biasanya dijual sebagai penyulitan tambahan, sedangkan itulah perkara paling tidak menarik yang dilakukannya. Produk sebenar ialah keputusan kebenaran kedua, yang dibuat oleh pemilik berbeza terhadap set sumber berbeza. Jika kedua-dua peringkat menerima kelayakan yang sama dan mencapai destinasi yang sama, gerbang dalam hanyalah hiasan dengan kependaman tambahan. Memutuskan sama ada keputusan kedua itu berbaloi dengan kos operasinya bermula dengan menamakan apa yang sebenarnya disahkan oleh setiap gerbang.
Satu terowong, kemudian keputusan kedua
Gerbang luar menjawab soalan luas: adakah ini peranti pekerja yang diluluskan, dan bolehkah ia mencapai rangkaian dalaman am. Gerbang dalam menjawab soalan yang lebih sempit: adakah identiti ini membawa hak penyelenggaraan, dan bolehkah ia mencapai titik akhir pengurusan khusus ini. Itu soalan berbeza dengan pemilik berbeza, dan tidak satu pun membayangkan yang lain. Kewujudan laluan melalui kedua-dua peringkat bukanlah kuasa untuk menggunakan apa yang berada di belakang yang kedua. Mencapai pintu masuk jauh membuktikan bahawa laluan berfungsi, dan tidak lebih.
Prinsipnya lama dan masih diabaikan: lokasi rangkaian tidak membuktikan apa-apa dengan sendirinya. Ringkasan seni bina kepercayaan sifar NIST menyatakannya dengan jelas, menolak kepercayaan tersirat yang berpunca daripada dari mana sesuatu sambungan datang atau siapa pemilik rangkaian. Dilaksanakan di sini, tiba di pintu masuk dalam ialah prasyarat untuk sumbernya, tidak pernah kebenaran untuk menggunakannya.
Tuliskan apa yang disahkan oleh setiap gerbang
Bagi setiap peringkat, rekodkan identiti yang diperiksa, destinasi yang dibenarkan dan syarat yang membolehkannya dilangkau. Gerbang luar boleh secara sah membenarkan perkhidmatan dalaman biasa serta pendengar gerbang dalam, dan tidak lebih. Gerbang dalam boleh meminta tuntutan peranan dan hanya membenarkan alamat pengurusan yang dinamakan dalam rekod perubahan. Aplikasi di hujung jauh memegang kata akhir tentang operasi yang boleh dilakukan oleh peranan itu, jadi rantaian menambah gerbang tanpa menggantikan kebenaran aplikasi.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dua ketinggalan merosakkan reka bentuk secara senyap. Jika domain luar sudah mencapai setiap destinasi sensitif secara langsung, gerbang dalam adalah pilihan, bukan wajib. Jika pendengar awam atau laluan peribadi kedua menawarkan akses yang sama, laluan yang dimaksudkan ialah satu pilihan antara beberapa. Tetapkan juga pemilik bagi setiap set peraturan, dan biarkan kontrak mereka menamakan perkhidmatan destinasi, identiti sumber yang dibenarkan, DNS peribadi, terjemahan alamat dan siapa yang menjawab apabila penyerahan gagal. Alamat yang dipercayai di rangkaian luar tidak boleh sekali-kali menggantikan kebenaran domain dalam.
Uji kes penolakan, bukan laluan gembira
Sambungan berjaya melalui kedua-dua gerbang membuktikan sangat sedikit, kerana itulah kes yang diuji semua orang semasa pelancaran. Kes yang menarik ialah apabila satu peringkat lulus dan yang lain menolak. Tiga daripadanya meliputi sebahagian besar risiko, dan setiap satu mempunyai hasil jangkaan yang boleh diperiksa dan bukannya dihujahkan.
Dengan akses am diluluskan dan peranan sensitif tiada, kerja biasa mesti diteruskan sementara destinasi sensitif ditolak. Luluskan kedua-dua peringkat dan set yang boleh dicapai hendaklah titik akhir penyelenggaraan yang dinamakan dalam rekod perubahan, tidak lebih luas. Dengan hak ditarik balik di tengah sesi, dasar sesi yang dipersetujui mesti berkuat kuasa tanpa meruntuhkan akses am yang tidak berkaitan. Sama ada penarikan balik itu menamatkan sesi sedia ada serta-merta atau pada pengesahan semula seterusnya ialah keputusan dasar yang sepatutnya sudah ada dalam kontrak. Orang yang menulis kes penerimaan bukanlah orang yang sepatutnya mentafsirkannya semasa insiden.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Kira kebergantungan yang anda tambah
Setiap peringkat tambahan menambah komponen yang boleh gagal dan laluan yang mesti bersarang dengan betul di dalam terowong luar. Semasa kegagalan separa, laluan luar kekal hidup manakala laluan dalam tidak dapat dicapai, jadi pengguna melihat ikon VPN yang sihat di sebelah perkhidmatan yang tidak pernah menjawab.
Periksa laluan dan peraturan penyekatan semasa kegagalan, bukan hanya dalam kes biasa. Laluan lalai yang ditolak oleh terowong luar boleh menangkap alamat gerbang dalam itu sendiri, yang menukar peringkat kedua kepada sambungan yang terbentuk dan kemudian terputus. Rekodkan apa yang sepatutnya kekal disekat semasa terowong dalam tiada, kerana pengunduran tidak sengaja di sekelilingnya lebih buruk daripada gangguan bersih. Gunakan bentuk siasatan yang sama pada kedua-dua hop, supaya setiap satu diukur dan bukan diandaikan. Dua penunjuk status bersambung tidak menetapkan sarang mahupun pengasingan.
Apa yang tidak boleh dibeli oleh gerbang kedua untuk anda
Tanya sama ada kedua-dua gerbang berkongsi kelayakan, pihak berkuasa sijil atau satah pengurusan. Di mana mereka berkongsi, mereka juga berkongsi mod kegagalan terpenting mereka, dan peringkat kedua lebih mahal daripada kebebasan yang kelihatannya ditambah. Sesi kriptografi berasingan tidak mencipta kawalan pentadbiran berasingan.
Kekalkan gerbang dalam selagi ia menguatkuasakan keperluan yang boleh anda nyatakan dan uji, seperti peranan yang tidak pernah diperiksa domain luar. Buang apabila satu-satunya tugasnya ialah mengesahkan semula identiti yang sama terhadap destinasi yang sama. Walau apa pun, rekodkan keperluan, pemilik dan tingkah laku kegagalan bersama-sama, supaya semakan seterusnya berhujah tentang keperluan, bukan tentang rajah.