Żewġ bibien VPN f'serje: x'jiddeċiedi kull wieħed tassew
Żewġ stadji VPN f'serje għandhom ifissru żewġ deċiżjonijiet ta' permess separati. Semmi x'jiċċekkja kull bieb, imbagħad iċċekkja x'jiċħad dak ta' ġewwa.
It-twaħħil ta' żewġ VPNs flimkien normalment jinbiegħ bħala encryption addizzjonali, li hija l-inqas ħaġa interessanti li jagħmel. Il-prodott veru huwa t-tieni deċiżjoni ta' awtorizzazzjoni, meħuda minn sid differenti fuq sett differenti ta' riżorsi. Jekk iż-żewġ stadji jaċċettaw l-istess kredenzjali u jilħqu l-istess destinazzjonijiet, il-bieb ta' ġewwa huwa dekorazzjoni b'dewmien addizzjonali. Id-deċiżjoni dwar jekk dik it-tieni deċiżjoni tiswiex l-ispiża operattiva tagħha tibda billi ssemmi x'jivverifika tassew kull bieb.
Tunnel wieħed, imbagħad it-tieni deċiżjoni
Il-bieb ta' barra jwieġeb mistoqsija wiesgħa: dan huwiex apparat approvat tal-impjegat, u jistax jasal għan-netwerk intern ġenerali. Il-bieb ta' ġewwa jwieġeb waħda eqreb: din l-identità ġġorr id-dritt tal-manutenzjoni, u tistax tasal għal dawn il-punti finali tal-ġestjoni speċifiċi. Dawn huma mistoqsijiet differenti b'sidien differenti, u lanqas wieħed ma jimplika l-ieħor. L-eżistenza ta' triq miż-żewġ stadji mhix awtorità li tuża dak li jinsab wara t-tieni wieħed. Li tasal għad-daħla mbiegħda jipprova li rotta taħdem, u xejn aktar.
Il-prinċipju huwa antik u għadu jiġi injorat: il-post fin-netwerk ma jargumenta xejn waħdu. Sommarju tal-arkitettura ta' fiduċja żero tal-NIST jgħidha b'mod ċar, u jirrifjuta fiduċja impliċita li tinbet minn fejn ġie konnessjoni jew min għandu n-netwerk. Applikat hawn, il-wasla fid-daħla ta' ġewwa hija kundizzjoni minn qabel għar-riżorsi tagħha, qatt mhix il-permess li jintużaw.
Ikteb x'jivverifika kull bieb
Għal kull stadju, irreġistra l-identità li jiċċekkja, id-destinazzjonijiet li jippermetti u l-kundizzjonijiet li fihom jista' jiġi skippjat. Il-bieb ta' barra jista' b'mod leġittimu jippermetti servizzi interni ordinarji flimkien mas-semmiegħa tal-bieb ta' ġewwa, u xejn aktar. Il-bieb ta' ġewwa jista' jitlob talba ta' rwol u jippermetti biss l-indirizzi tal-ġestjoni msemmija fir-rekord tal-bidla. L-applikazzjoni fit-tarf imbiegħed iżżomm l-aħħar kelma dwar liema operazzjonijiet jista' jagħmel dak ir-rwol, għalhekk il-katina żżid bieb mingħajr ma tissostitwixxi l-awtorizzazzjoni tal-applikazzjoni.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Żewġ tħassiriet ikissru d-disinn bil-kwiet. Jekk id-dominju ta' barra diġà jasal direttament għal kull destinazzjoni sensittiva, il-bieb ta' ġewwa huwa fakultattiv minflok obbligatorju. Jekk semmiegħa pubblika jew tieni rotta privata toffri l-istess aċċess, it-triq maħsuba hija għażla waħda fost diversi. Assenja sid lil kull sett ta' regoli wkoll, u ħalli l-kuntratt tagħhom isemmi s-servizzi tad-destinazzjoni, l-identitajiet tas-sors permessi, id-DNS privat, it-traduzzjoni tal-indirizzi u min iwieġeb meta l-konsenja tfalli. Indirizz li jingħata fiduċja fuq in-netwerk ta' barra qatt m'għandu jieħu post l-awtorizzazzjoni tad-dominju ta' ġewwa.
Iċċekkja l-każijiet ta' rifjut, mhux it-triq ferrieħa
Konnessjoni b'suċċess miż-żewġ bibien tipprova ftit ħafna, għax dak huwa l-każ li kulħadd iċċekkja waqt it-tnedija. Il-każijiet interessanti huma dawk fejn stadju jgħaddi u l-ieħor jirrifjuta. Tlieta minnhom ikopru l-biċċa l-kbira tar-riskju, u kull wieħed għandu riżultat mistenni li jista' jiġi ċċekkjat minflok diskuss.
B'aċċess ġenerali approvat u r-rwol sensittiv nieqes, ix-xogħol ordinarju għandu jkompli waqt li d-destinazzjoni sensittiva tiġi rrifjutata. Approva ż-żewġ stadji u s-sett li jista' jintlaħaq għandu jkun il-punti finali tal-manutenzjoni msemmija fir-rekord tal-bidla, xejn usa'. B'd-dritt irrevokat f'nofs sessjoni, il-politika tas-sessjoni miftiehma għandha tidħol fis-seħħ mingħajr ma tneħħi aċċess ġenerali mhux relatat. Jekk dak l-irtirar jispiċċa sessjoni eżistenti minnufih jew fl-awtentikazzjoni mill-ġdid li jmiss hija deċiżjoni ta' politika li l-kuntratt diġà għandu jkun fih. Min kiteb il-każijiet tal-aċċettazzjoni mhuwiex il-persuna li għandha tinterpretahom waqt inċident.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Għodd id-dipendenzi li żidt
Kull stadju żejjed iżid komponent li jista' jfalli u rotta li trid tiddaħħal sewwa fit-tunnel ta' barra. Waqt falliment parzjali t-triq ta' barra tibqa' għaddejja waqt li dik ta' ġewwa tkun ma tistax tintlaħaq, għalhekk l-utent jara ikona VPN b'saħħitha ħdejn servizz li qatt ma jwieġeb.
Iċċekkja r-rotot u r-regoli tal-imblukkar taħt falliment, mhux biss fil-każ normali. Rotta default imbuttata mit-tunnel ta' barra tista' taqbad l-indirizz tal-bieb ta' ġewwa nnifsu, li jbiddel it-tieni stadju f'konnessjoni li tiġi stabbilita u mbagħad taqa'. Irreġistra x'għandu jibqa' mblukkat waqt li t-tunnel ta' ġewwa ma jkunx hemm, għax waqgħa aċċidentali madwaru hija agħar minn waqfa nadifa. Uża l-istess forma ta' sonda fuq iż-żewġ qabżiet, sabiex kull waħda titkejjel minflok tiġi preżunta. Żewġ indikaturi ta' status konnessi ma jistabbilixxux la nesting u lanqas iżolament.
X'ma jistax jixtri l-bieb tat-tieni wieħed għalik
Staqsi jekk iż-żewġ bibien jaqsmu kredenzjali, awtorità taċ-ċertifikati jew pjan ta' ġestjoni. Fejn jaqsmu, jaqsmu wkoll l-aktar modi ta' falliment importanti tagħhom, u t-tieni stadju jiswa aktar mill-indipendenza li jidher li jżid. Sessjonijiet kriptografiċi separati ma joħolqux kontrolli amministrattivi separati.
Żomm il-bieb ta' ġewwa sakemm jinfurza rekwiżit li tista' tiddikjara u tittestja, bħal rwol li d-dominju ta' barra qatt ma jiċċekkja. Neħħih meta l-uniku xogħol tiegħu huwa li jerġa' jawtentika l-istess identità kontra l-istess destinazzjonijiet. Kif inhu, irreġistra r-rekwiżit, is-sid u l-imġiba tal-falliment flimkien, sabiex ir-reviżjoni li jmiss targumenta dwar ir-rekwiżit u mhux dwar id-dijagramma.