Always-on VPN: pad, machtiging en sessie apart

Een tunnel de klok rond openhouden is een ontwerpkeuze met een verdedigbare en een slordige variant. Een filiaal dat de hele dag een centrale applicatie nodig heeft, plus een nachtelijke back-uptaak, heeft een reden. Een laptop die drie dagen aangesloten in een hotelkamer blijft liggen, is een ongeluk.

Beide tonen hetzelfde groene pictogram en beide antwoorden hetzelfde als je vraagt hoe lang de tunnel al open is. Dat getal is niet het interessante. Wat telt is wat de verbinding beschikbaar houdt, voor wie, en wat er werkelijk een einde aan maakt.

Drie klokken die apart lopen

De eerste toestand is het pad. Een tunnel en zijn beleid maken een reeks diensten bereikbaar, en een verbinding zonder verkeer kan klaar blijven staan voor het volgende verzoek. Hoe lang die klaar blijft is een implementatiebeslissing, geen universele timer.

De tweede toestand is de machtiging. Een geaccepteerde identiteit of apparaat kan gemachtigd zijn dat pad te gebruiken. Die machtiging hoort te veranderen wanneer een rol verandert, een apparaat verdwijnt of compromittering wordt vermoed, en ze staat los van of er pakketten stromen.

De derde toestand is de sessie van de applicatie zelf. Een databaseclient, een extern bureaublad of een webapplicatie authenticeert apart en houdt zijn eigen toestand bij. De tunnel sluiten beëindigt niet noodzakelijk een van die.

Een beoordeling die deze drie als één vraag behandelt, eindigt in een discussie over inactiviteitstimers. Elk van de drie kan op zichzelf gezond of kapot zijn, en een bevinding bij één zegt weinig over de andere. Een checklist van drie regels is beter dan een debat over één time-outwaarde. Schrijf het antwoord voor elke toestand apart op.

De tunnel is een pad, geen badge

Een opgezette tunnel is bewijs dat er een beschermd pad tussen twee eindpunten bestaat. Het is geen bewijs dat elk proces achter welk eindpunt dan ook elke dienst aan de andere kant moet bereiken.

De zero-trustrichtlijnen van NIST zeggen hetzelfde vanuit de andere richting: netwerklocatie mag niet als impliciet vertrouwen worden behandeld. Een siteverbinding is een transportfeit, en de toestemming voor één host om één applicatie te gebruiken is een aparte beslissing met een eigen eigenaar.

Een gecompromitteerde peer kan nog steeds schadelijke acties proberen via diensten die hij mag bereiken. Filtering en monitoring verkleinen specifieke risicos zonder de gevolgen van compromittering van het eindpunt uit te wissen. Ontwerp voor het pad en autoriseer voor de dienst.

Een permanente siteverbinding rechtvaardigen

De verdedigbare versie van altijd-aan benoemt het doel precies. Welke bronnen, welke bestemmingen, welke richting, en wie elk item bezit. Een filiaalfirewall die elke filiaalhost elk centraal subnet toestaat, heeft geen verbinding voor een genoemd doel gehouden; hij heeft die gehouden voor alles wat iemand later bedenkt.

Waar een peer het vereiste vertrouwensniveau niet kan halen, vernauw de grens of verander de regeling. Vertrouwen op af en toe handmatig loskoppelen is een procesbeheersing, en procesbeheersingen zijn het minst betrouwbaar juist wanneer een incident ze onhandig maakt.

Bewaar de rechtvaardiging bij de configuratie. Een permanente uitzondering met een geschreven doel kan worden herzien en ingetrokken. Een zonder doel wordt standaard permanent.

Sleutels wisselen is geen intrekking

Sleutels volgens een schema vervangen onderhoudt de levenscyclus van de bescherming. Het vernieuwt materiaal en behoudt vertrouwelijkheid. Het neemt een eindpunt zijn recht niet af.

Als het eindpunt nog geldige inloggegevens en een toegangsbeleid heeft dat het accepteert, herstelt de volgende onderhandeling hetzelfde toegestane pad. Daarom is sleutelrotatie per uur geen antwoord op een verloren apparaat: het verloren apparaat roteert ook, zolang zijn identiteit nog wordt vertrouwd. Controleer het recht voor het schema. Rotatie is hygiene en intrekking is een toegangsbeslissing.

Intrekking is een ander mechanisme met zijn eigen latentie: een ingetrokken certificaat, een uitgeschakeld account, een gewijzigde groep, een verwijderde netwerkregel. Elk werkt op een ander moment en gedraagt zich anders voor sessies die al zijn opgezet.

Beëindigen wat al draait

Vraag wat de implementatie doet met bestaande sessies wanneer de toegang wordt verwijderd. Ze kan ze beëindigen, op verloop wachten of een gedocumenteerd gedrag daartussen toepassen. Ga er niet van uit dat de toelatingswijziging van morgen de applicatieverbinding van vandaag sluit.

Voor interactieve toegang horen sessielimieten en inactiviteitsregels bij de eigenaren van identiteit en VPN, niet alleen bij het netwerkteam. Voor een siteservice stelt u de procedure vast die onderhoud, een storing of een beveiligingsincident gebruikt om de toegang uit te schakelen.

Test dan drie uitkomsten: toegestaan werk werkt nog, een niet-gerelateerde dienst wordt geweigerd, en de verwijderingsprocedure levert het gedocumenteerde resultaat. Een altijd-aan-ontwerp is aanvaardbaar wanneer het doel, de autorisatie en het vermogen om uit te schakelen allemaal zijn opgeschreven en geoefend. Anders is het een gemak dat zijn reden heeft overleefd.