To VPN-portar i rekkefølgje: kva kvar av dei faktisk avgjer
To VPN-trinn i rekkefølgje bør tyde to separate løyveavgjerder. Namngje kva kvar port kontrollerer, og test deretter kva den indre nektar.
Kjeding av to VPN-ar vert vanlegvis seld som ekstra kryptering, som er det minst interessante han gjer. Det eigentlege produktet er ei anna autorisasjonsavgjerd, teken av ein annan eigar mot eit anna sett ressursar. Viss begge trinna godtek same legitimasjon og når dei same måla, er den indre porten dekorasjon med ekstra ventetid. Å avgjere om den andre avgjerda er verdt driftskostnaden byrjar med å namngje kva kvar port faktisk verifiserer.
Éin tunnel, deretter ei anna avgjerd
Den ytre porten svarar på eit breitt spørsmål: er dette ein godkjend tilsett-eining, og kan ho nå det generelle interne nettet. Den indre porten svarar på eit smalare: ber denne identiteten vedlikehaldsretten, og kan han nå desse spesifikke administrasjonsendepunkta. Dette er ulike spørsmål med ulike eigarar, og ingen av dei føreset den andre. At ein veg finst gjennom begge trinna er ikkje mynd til å bruke det som ligg bak den andre. Å nå den fjerne inngangen beviser at ein rute verkar, og ikkje noko meir.
Prinsippet er gamalt og vert framleis ignorert: nettverksplassering talar ikkje for noko i seg sjølv. NISTs samandrag av nulltillitsarkitektur seier det klart, og avviser implisitt tillit som følgjer av kvar ei tilkopling kom frå eller kven som eig nettverket. Brukt her er ankomst til den indre inngangen ein føresetnad for ressursane, aldri løyvet til å bruke dei.
Skriv ned kva kvar port verifiserer
For kvart trinn, registrer identiteten det kontrollerer, måla det tillèt og vilkåra det kan hoppast over under. Den ytre porten kan legitimt tillate vanlege interne tenester pluss lyttaren til den indre porten, og ingenting anna. Den indre porten kan krevje eit rollekrav og berre tillate administrasjonsadressene som er namngjevne i endringsprotokollen. Applikasjonen i den fjerne enden held det siste ordet om kva operasjonar rolla kan utføre, så kjeda legg til ein port utan å erstatte applikasjonsautorisasjonen.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
To utelatingar bryt designet stille. Viss det ytre domenet allereie når kvar sensitivt mål direkte, er den indre porten valfri snarare enn obligatorisk. Viss ein offentleg lyttar eller ein andre privat rute tilbyr same tilgang, er den tiltenkte vegen eitt alternativ blant fleire. Tildel òg ein eigar til kvart regelsett, og la kontrakten deira namngje måltenester, tillatne kjeldeidentitetar, privat DNS, adresseomsetjing og kven som svarar når overleveringa feilar. Ei adresse som er betrudd på det ytre nettverket må aldri erstatte autorisasjonen til det indre domenet.
Test avvisingstilfella, ikkje den glade vegen
Ei vellukka tilkopling gjennom begge portane beviser svært lite, fordi det er tilfellet alle testa under utrullinga. Dei interessante tilfella er der eitt trinn slepp gjennom og det andre avviser. Tre av dei dekkjer det meste av risikoen, og kvart har eit forventa resultat som kan kontrollerast i staden for diskuterast.
Med generell tilgang godkjend og den sensitive rolla fråverande, må vanleg arbeid halde fram medan det sensitive målet vert avvist. Godkjenn begge trinna, og det nåbare settet bør vere vedlikehaldsendepunkta som er namngjevne i endringsprotokollen, ikkje noko breiare. Med retten trekt tilbake midt i ei økt, må den avtalte øktpolitikken tre i kraft utan å rive ned urelatert generell tilgang. Om tilbaketrekkinga avsluttar ei eksisterande økt med ein gong eller ved neste reautentisering, er ei politikkavgjerd kontrakten allereie bør innehalde. Den som skreiv aksepttilfella er ikkje den som bør tolke dei under ei hending.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Tel avhengnadene du la til
Kvart ekstra trinn legg til ein komponent som kan feile og ein rute som må liggje rett inne i den ytre tunnelen. Under ein delvis feil blir den ytre vegen verande oppe medan den indre er utilgjengeleg, så brukaren ser eit friskt VPN-ikon ved sida av ei teneste som aldri svarar.
Kontroller rutene og blokkeringsreglane under feil, ikkje berre i det normale tilfellet. Ei standardrute som vert skyvd av den ytre tunnelen kan fange den indre porten si eiga adresse, noko som gjer det andre trinnet til ei tilkopling som vert etablert og deretter fell. Registrer kva som skal vere blokkert medan den indre tunnelen er borte, fordi eit utilsikta tilbakefall rundt han er verre enn ein rein avbrot. Bruk same sonderingsform på begge hoppa, slik at kvart vert målt i staden for antatt. To tilkopla statusindikatorar etablerer korkje innbygging eller isolasjon.
Kva den andre porten ikkje kan kjøpe for deg
Spør om dei to portane deler ein legitimasjon, ein sertifikatstyresmakt eller eit administrasjonsplan. Der dei gjer det, deler dei òg dei viktigaste feilmodusane sine, og det andre trinnet kostar meir enn sjølvstendet det ser ut til å leggje til. Separate kryptografiske økter skapar ikkje separate administrative kontrollar.
Hald den indre porten så lenge han handhevar eit krav du kan formulere og teste, til dømes ei rolle det ytre domenet aldri kontrollerer. Fjern han når den einaste jobben hans er å reautentisere same identitet mot dei same måla. Uansett, registrer kravet, eigaren og feilåtferda saman, slik at neste gjennomgang diskuterer kravet og ikkje diagrammet.