शृंखलामा दुई VPN ढोका: प्रत्येकले वास्तवमा के निर्णय गर्छ
शृंखलामा दुई VPN चरणको अर्थ दुई छुट्टै अनुमति निर्णय हुनुपर्छ। प्रत्येक ढोकाले के जाँच्छ भनी नाम दिनुहोस्, त्यसपछि भित्री ढोकाले के अस्वीकार गर्छ परीक्षण गर्नुहोस्।
दुई VPN लाई शृंखलाबद्ध गर्ने काम सामान्यतया थप इन्क्रिप्शनको रूपमा बेचिन्छ, जुन यसले गर्ने सबैभन्दा कम रोचक काम हो। वास्तविक उत्पादन दोस्रो प्राधिकरण निर्णय हो, जुन फरक मालिकले फरक स्रोत-समूहमा गर्छ। यदि दुवै चरणले एउटै प्रमाणपत्र स्वीकार गर्छन् र एउटै गन्तव्यमा पुग्छन् भने, भित्री ढोका थप ढिलाइसहितको सजावट मात्र हो। त्यो दोस्रो निर्णय आफ्नो सञ्चालन लागतको योग्य छ कि छैन भन्ने निर्णय प्रत्येक ढोकाले वास्तवमा के प्रमाणित गर्छ भनी नाम दिनबाट सुरु हुन्छ।
एउटा सुरुङ, त्यसपछि दोस्रो निर्णय
बाहिरी ढोकाले फराकिलो प्रश्नको जवाफ दिन्छ: यो स्वीकृत कर्मचारी उपकरण हो, र यो सामान्य आन्तरिक सञ्जालमा पुग्न सक्छ। भित्री ढोकाले साँघुरो प्रश्नको: यो पहिचानसँग मर्मत अधिकार छ, र यो यी विशेष व्यवस्थापन अन्तिम बिन्दुहरूमा पुग्न सक्छ। यी फरक मालिकका फरक प्रश्न हुन्, र एउटाले अर्कोलाई जनाउँदैन। दुवै चरणबाट जाने बाटो हुनु भनेको दोस्रोको पछाडि रहेको कुरा प्रयोग गर्ने अधिकार होइन। टाढाको प्रवेशद्वारमा पुग्नुले बाटो काम गर्छ भनी प्रमाणित गर्छ, त्यसभन्दा बढी होइन।
सिद्धान्त पुरानो छ र अझै बेवास्ता गरिन्छ: सञ्जाल स्थान आफैंमा केही प्रमाणित गर्दैन। NIST को शून्य-विश्वास वास्तुकलाको सारांश यसलाई स्पष्ट भन्छ, र जडान कहाँबाट आयो वा सञ्जाल कसको हो भन्नेबाट उत्पन्न हुने निहित विश्वास अस्वीकार गर्छ। यहाँ लागू गर्दा, भित्री प्रवेशद्वारमा पुग्नु त्यसका स्रोतहरूका लागि पूर्वशर्त हो, तिनको प्रयोगको अनुमति कहिल्यै होइन।
प्रत्येक ढोकाले के प्रमाणित गर्छ लेख्नुहोस्
प्रत्येक चरणका लागि, यसले जाँच्ने पहिचान, यसले अनुमति दिने गन्तव्य र यसलाई छोड्न सकिने सर्तहरू रेकर्ड गर्नुहोस्। बाहिरी ढोकाले वैध रूपमा सामान्य आन्तरिक सेवाहरू र भित्री ढोकाको श्रोतालाई अनुमति दिन सक्छ, अरू केही होइन। भित्री ढोकाले भूमिका दाबी माग्न सक्छ र परिवर्तन रेकर्डमा नाम दिइएका व्यवस्थापन ठेगानाहरूलाई मात्र अनुमति दिन सक्छ। टाढाको छेउको अनुप्रयोगले त्यो भूमिकाले कुन कार्य गर्न सक्छ भन्नेमा अन्तिम शब्द राख्छ, त्यसैले शृंखलाले अनुप्रयोग प्राधिकरण प्रतिस्थापन नगरी एउटा ढोका थप्छ।
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
दुई छुट्ने कुराले डिजाइनलाई चुपचाप तोड्छ। यदि बाहिरी डोमेन पहिले नै प्रत्येक संवेदनशील गन्तव्यमा सीधै पुग्छ भने, भित्री ढोका अनिवार्य होइन, वैकल्पिक हो। यदि सार्वजनिक श्रोता वा दोस्रो निजी बाटोले त्यही पहुँच दिन्छ भने, इच्छित बाटो धेरै विकल्पमध्ये एक हो। प्रत्येक नियम-समूहलाई मालिक पनि तोक्नुहोस्, र तिनको सम्झौताले गन्तव्य सेवा, अनुमति दिइएका स्रोत पहिचान, निजी DNS, ठेगाना अनुवाद र हस्तान्तरण असफल हुँदा कसले जवाफ दिन्छ भनी नाम दिइरहोस्। बाहिरी सञ्जालमा विश्वसनीय ठेगानाले कहिल्यै भित्री डोमेनको प्राधिकरणको ठाउँ लिनु हुँदैन।
अस्वीकृतिका अवस्था परीक्षण गर्नुहोस्, सुखद बाटो होइन
दुवै ढोकाबाट सफल जडानले धेरै थोरै प्रमाणित गर्छ, किनकि त्यही अवस्था सबैले रोलआउटमा परीक्षण गरेका थिए। रोचक अवस्था ती हुन् जहाँ एउटा चरण पास हुन्छ र अर्को अस्वीकार गर्छ। तीमध्ये तीनले धेरैजसो जोखिम ढाक्छन्, र प्रत्येकको बहस होइन, जाँच गर्न सकिने अपेक्षित नतिजा छ।
सामान्य पहुँच स्वीकृत र संवेदनशील भूमिका अनुपस्थित हुँदा, संवेदनशील गन्तव्य अस्वीकार गरिँदै गर्दा सामान्य काम जारी रहनुपर्छ। दुवै चरण स्वीकृत गर्नुहोस् र पुग्न सकिने समूह परिवर्तन रेकर्डमा नाम दिइएका मर्मत अन्तिम बिन्दु हुनुपर्छ, त्यसभन्दा फराकिलो होइन। सत्रको बीचमा अधिकार रद्द भयो भने, सहमत सत्र नीति असम्बन्धित सामान्य पहुँच नतोडी लागू हुनुपर्छ। त्यो रद्दले अवस्थित सत्र तुरुन्तै अन्त्य गर्छ कि अर्को पुनःप्रमाणीकरणमा भन्ने नीति निर्णय हो जो सम्झौतामा पहिले नै हुनुपर्छ। स्वीकृति अवस्था लेख्ने व्यक्ति घटनाको समयमा तिनको व्याख्या गर्नुपर्ने व्यक्ति होइन।
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"थपिएका निर्भरताहरू गन्नुहोस्
प्रत्येक थप चरणले असफल हुन सक्ने घटक र बाहिरी सुरुङभित्र ठीकसँग नेस्ट हुनुपर्ने बाटो थप्छ। आंशिक असफलतामा बाहिरी बाटो माथि रहन्छ जबकि भित्री पुग्न नसकिने हुन्छ, त्यसैले प्रयोगकर्ताले कहिल्यै जवाफ नदिने सेवाको छेउमा स्वस्थ VPN आइकन देख्छ।
सामान्य अवस्थामा मात्र होइन, असफलतामा पनि बाटो र अवरोध नियम जाँच्नुहोस्। बाहिरी सुरुङले धकेलेको पूर्वनिर्धारित बाटोले भित्री ढोकाकै ठेगाना समात्न सक्छ, जसले दोस्रो चरणलाई स्थापित भएर पछि खस्ने जडानमा बदल्छ। भित्री सुरुङ नहुँदा के अवरुद्ध रहनुपर्छ रेकर्ड गर्नुहोस्, किनकि यसको वरिपरिको आकस्मिक फर्काव सफा अवरोधभन्दा नराम्रो हुन्छ। दुवै हपमा एउटै जाँच आकार प्रयोग गर्नुहोस्, प्रत्येक अनुमान होइन, नापियोस्। दुई जोडिएका स्थिति सूचकले न नेस्टिङ न पृथकीकरण स्थापित गर्छन्।
दोस्रो ढोकाले तपाईंका लागि के किन्न सक्दैन
दुई ढोकाले एउटै प्रमाणपत्र, प्रमाणपत्र प्राधिकरण वा व्यवस्थापन तल साझा गर्छन् कि सोध्नुहोस्। जहाँ गर्छन्, तहाँ तिनले आफ्ना सबैभन्दा महत्त्वपूर्ण असफलता विधिहरू पनि साझा गर्छन्, र दोस्रो चरणले देखिने स्वतन्त्रताभन्दा बढी खर्च गर्छ। छुट्टै क्रिप्टोग्राफिक सत्रले छुट्टै प्रशासनिक नियन्त्रण सिर्जना गर्दैनन्।
भित्री ढोका जबसम्म तपाईं भन्न र परीक्षण गर्न सक्ने आवश्यकता लागू गर्छ तबसम्म राख्नुहोस्, जस्तै बाहिरी डोमेनले कहिल्यै नजाँच्ने भूमिका। यसको एकमात्र काम एउटै पहिचानलाई एउटै गन्तव्यविरुद्ध पुनःप्रमाणित गर्नु भएपछि हटाउनुहोस्। जसरी पनि, आवश्यकता, मालिक र असफलता व्यवहार सँगै रेकर्ड गर्नुहोस्, ताकि अर्को समीक्षाले रेखाचित्रको बारेमा होइन, आवश्यकताको बारेमा बहस गरोस्।