ਲੜੀ ਵਿੱਚ ਦੋ VPN ਦਰਵਾਜ਼ੇ: ਹਰ ਇੱਕ ਅਸਲ ਵਿੱਚ ਕੀ ਫੈਸਲਾ ਕਰਦਾ ਹੈ
ਲੜੀ ਵਿੱਚ ਦੋ VPN ਪੜਾਵਾਂ ਦਾ ਮਤਲਬ ਦੋ ਵੱਖਰੇ ਇਜਾਜ਼ਤ ਫੈਸਲੇ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ। ਦੱਸੋ ਹਰ ਦਰਵਾਜ਼ਾ ਕੀ ਜਾਂਚਦਾ ਹੈ, ਫਿਰ ਪਰਖੋ ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਕੀ ਨਕਾਰਦਾ ਹੈ।
ਦੋ VPN ਨੂੰ ਲੜੀਬੱਧ ਕਰਨਾ ਆਮ ਤੌਰ 'ਤੇ ਵਾਧੂ ਐਨਕ੍ਰਿਪਸ਼ਨ ਵਜੋਂ ਵੇਚਿਆ ਜਾਂਦਾ ਹੈ, ਜੋ ਇਹ ਕਰਦਾ ਹੈ ਸਭ ਤੋਂ ਘੱਟ ਦਿਲਚਸਪ ਕੰਮ। ਅਸਲ ਉਤਪਾਦ ਦੂਜਾ ਅਧਿਕਾਰ ਫੈਸਲਾ ਹੈ, ਜੋ ਵੱਖਰਾ ਮਾਲਕ ਵੱਖਰੇ ਸਰੋਤ-ਸਮੂਹ 'ਤੇ ਲੈਂਦਾ ਹੈ। ਜੇ ਦੋਵੇਂ ਪੜਾਅ ਇੱਕੋ ਪ੍ਰਮਾਣ ਪੱਤਰ ਸਵੀਕਾਰ ਕਰਦੇ ਹਨ ਅਤੇ ਇੱਕੋ ਮੰਜ਼ਿਲਾਂ 'ਤੇ ਪਹੁੰਚਦੇ ਹਨ, ਤਾਂ ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਵਾਧੂ ਦੇਰੀ ਵਾਲਾ ਗਹਿਣਾ ਹੈ। ਉਹ ਦੂਜਾ ਫੈਸਲਾ ਆਪਣੀ ਕਾਰਜਕਾਰੀ ਲਾਗਤ ਦੇ ਯੋਗ ਹੈ ਜਾਂ ਨਹੀਂ, ਇਹ ਤੈਅ ਕਰਨਾ ਹਰ ਦਰਵਾਜ਼ਾ ਅਸਲ ਵਿੱਚ ਕੀ ਤਸਦੀਕ ਕਰਦਾ ਹੈ ਦੱਸਣ ਨਾਲ ਸ਼ੁਰੂ ਹੁੰਦਾ ਹੈ।
ਇੱਕ ਸੁਰੰਗ, ਫਿਰ ਦੂਜਾ ਫੈਸਲਾ
ਬਾਹਰਲਾ ਦਰਵਾਜ਼ਾ ਇੱਕ ਚੌੜੇ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦਾ ਹੈ: ਕੀ ਇਹ ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਕਰਮਚਾਰੀ ਡਿਵਾਈਸ ਹੈ, ਅਤੇ ਕੀ ਇਹ ਆਮ ਅੰਦਰੂਨੀ ਨੈੱਟਵਰਕ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਵਧੇਰੇ ਤੰਗ ਸਵਾਲ ਦਾ: ਕੀ ਇਸ ਪਛਾਣ ਕੋਲ ਰੱਖ-ਰਖਾਅ ਦਾ ਹੱਕ ਹੈ, ਅਤੇ ਕੀ ਇਹ ਇਹਨਾਂ ਖਾਸ ਪ੍ਰਬੰਧਨ ਅੰਤ ਬਿੰਦੂਆਂ ਤੱਕ ਪਹੁੰਚ ਸਕਦਾ ਹੈ। ਇਹ ਵੱਖਰੇ ਮਾਲਕਾਂ ਦੇ ਵੱਖਰੇ ਸਵਾਲ ਹਨ, ਅਤੇ ਇੱਕ ਦੂਜੇ ਨੂੰ ਨਹੀਂ ਦਰਸਾਉਂਦਾ। ਦੋਵੇਂ ਪੜਾਵਾਂ ਰਾਹੀਂ ਰਾਹ ਹੋਣਾ ਦੂਜੇ ਪਿੱਛੇ ਜੋ ਹੈ ਉਸ ਦੀ ਵਰਤੋਂ ਦਾ ਅਧਿਕਾਰ ਨਹੀਂ ਹੈ। ਦੂਰ ਦੇ ਦਾਖਲੇ ਤੱਕ ਪਹੁੰਚਣਾ ਸਾਬਤ ਕਰਦਾ ਹੈ ਕਿ ਰਸਤਾ ਕੰਮ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਸ ਤੋਂ ਵੱਧ ਨਹੀਂ।
ਸਿਧਾਂਤ ਪੁਰਾਣਾ ਹੈ ਅਤੇ ਅਜੇ ਵੀ ਅਣਡਿੱਠਾ ਹੈ: ਨੈੱਟਵਰਕ ਟਿਕਾਣਾ ਆਪਣੇ ਆਪ ਵਿੱਚ ਕੁਝ ਵੀ ਸਾਬਤ ਨਹੀਂ ਕਰਦਾ। NIST ਦੀ ਜ਼ੀਰੋ-ਭਰੋਸਾ ਢਾਂਚੇ ਦਾ ਸਾਰ ਇਸ ਨੂੰ ਸਪਸ਼ਟ ਕਹਿੰਦਾ ਹੈ, ਅਤੇ ਕਨੈਕਸ਼ਨ ਕਿੱਥੋਂ ਆਇਆ ਜਾਂ ਨੈੱਟਵਰਕ ਕਿਸਦਾ ਹੈ ਤੋਂ ਪੈਦਾ ਹੋਣ ਵਾਲੇ ਲੁਕਵੇਂ ਭਰੋਸੇ ਨੂੰ ਨਕਾਰਦਾ ਹੈ। ਇੱਥੇ ਲਾਗੂ ਕਰਨ 'ਤੇ, ਅੰਦਰਲੇ ਦਾਖਲੇ ਤੱਕ ਪਹੁੰਚਣਾ ਇਸ ਦੇ ਸਰੋਤਾਂ ਲਈ ਪੂਰਵ-ਸ਼ਰਤ ਹੈ, ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਇਜਾਜ਼ਤ ਕਦੇ ਨਹੀਂ।
ਲਿਖੋ ਹਰ ਦਰਵਾਜ਼ਾ ਕੀ ਤਸਦੀਕ ਕਰਦਾ ਹੈ
ਹਰ ਪੜਾਅ ਲਈ, ਉਹ ਪਛਾਣ ਦਰਜ ਕਰੋ ਜੋ ਇਹ ਜਾਂਚਦਾ ਹੈ, ਉਹ ਮੰਜ਼ਿਲਾਂ ਜਿਨ੍ਹਾਂ ਦੀ ਇਹ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, ਅਤੇ ਉਹ ਸ਼ਰਤਾਂ ਜਿਨ੍ਹਾਂ ਅਧੀਨ ਇਸ ਨੂੰ ਛੱਡਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਬਾਹਰਲਾ ਦਰਵਾਜ਼ਾ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਆਮ ਅੰਦਰੂਨੀ ਸੇਵਾਵਾਂ ਅਤੇ ਅੰਦਰਲੇ ਦਰਵਾਜ਼ੇ ਦੇ ਸਰੋਤੇ ਨੂੰ ਇਜਾਜ਼ਤ ਦੇ ਸਕਦਾ ਹੈ, ਹੋਰ ਕੁਝ ਨਹੀਂ। ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਭੂਮਿਕਾ ਦਾਅਵਾ ਮੰਗ ਸਕਦਾ ਹੈ ਅਤੇ ਸਿਰਫ਼ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਨਾਮਿਤ ਪ੍ਰਬੰਧਨ ਪਤਿਆਂ ਨੂੰ ਇਜਾਜ਼ਤ ਦੇ ਸਕਦਾ ਹੈ। ਦੂਰਲੇ ਸਿਰੇ ਦੀ ਐਪਲੀਕੇਸ਼ਨ ਉਸ ਭੂਮਿਕਾ ਦੁਆਰਾ ਕੀਤੇ ਜਾ ਸਕਣ ਵਾਲੇ ਕੰਮਾਂ ਬਾਰੇ ਆਖਰੀ ਸ਼ਬਦ ਰੱਖਦੀ ਹੈ, ਇਸ ਲਈ ਲੜੀ ਐਪਲੀਕੇਸ਼ਨ ਅਧਿਕਾਰ ਨੂੰ ਬਦਲੇ ਬਿਨਾਂ ਇੱਕ ਦਰਵਾਜ਼ਾ ਜੋੜਦੀ ਹੈ।
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
ਦੋ ਛੋਟਾਂ ਡਿਜ਼ਾਈਨ ਨੂੰ ਚੁੱਪਚਾਪ ਤੋੜਦੀਆਂ ਹਨ। ਜੇ ਬਾਹਰਲਾ ਡੋਮੇਨ ਪਹਿਲਾਂ ਹੀ ਹਰ ਸੰਵੇਦਨਸ਼ੀਲ ਮੰਜ਼ਿਲ ਤੱਕ ਸਿੱਧਾ ਪਹੁੰਚਦਾ ਹੈ, ਤਾਂ ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਲਾਜ਼ਮੀ ਨਹੀਂ ਬਲਕਿ ਚੋਣਵਾਂ ਹੈ। ਜੇ ਜਨਤਕ ਸਰੋਤਾ ਜਾਂ ਦੂਜਾ ਨਿੱਜੀ ਰਸਤਾ ਉਹੀ ਪਹੁੰਚ ਦਿੰਦਾ ਹੈ, ਤਾਂ ਇੱਛਤ ਰਸਤਾ ਕਈ ਵਿਕਲਪਾਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ। ਹਰ ਨਿਯਮ-ਸਮੂਹ ਨੂੰ ਮਾਲਕ ਵੀ ਸੌਂਪੋ, ਅਤੇ ਉਹਨਾਂ ਦਾ ਸਮਝੌਤਾ ਮੰਜ਼ਿਲ ਸੇਵਾਵਾਂ, ਮਨਜ਼ੂਰਸ਼ੁਦਾ ਸਰੋਤ ਪਛਾਣਾਂ, ਨਿੱਜੀ DNS, ਪਤਾ ਅਨੁਵਾਦ ਅਤੇ ਇਹ ਨਾਮ ਦੇਵੇ ਕਿ ਹੈਂਡਓਫ ਫੇਲ ਹੋਣ 'ਤੇ ਕੌਣ ਜਵਾਬ ਦਿੰਦਾ ਹੈ। ਬਾਹਰਲੇ ਨੈੱਟਵਰਕ 'ਤੇ ਭਰੋਸੇਯੋਗ ਪਤਾ ਕਦੇ ਵੀ ਅੰਦਰਲੇ ਡੋਮੇਨ ਦੇ ਅਧਿਕਾਰ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦਾ।
ਨਕਾਰ ਦੇ ਕੇਸ ਪਰਖੋ, ਸੁਖੀ ਰਸਤਾ ਨਹੀਂ
ਦੋਵੇਂ ਦਰਵਾਜ਼ਿਆਂ ਰਾਹੀਂ ਸਫਲ ਕਨੈਕਸ਼ਨ ਬਹੁਤ ਘੱਟ ਸਾਬਤ ਕਰਦਾ ਹੈ, ਕਿਉਂਕਿ ਉਹੀ ਕੇਸ ਸਾਰਿਆਂ ਨੇ ਰੋਲਆਉਟ ਵਿੱਚ ਪਰਖਿਆ ਸੀ। ਦਿਲਚਸਪ ਕੇਸ ਉਹ ਹਨ ਜਿੱਥੇ ਇੱਕ ਪੜਾਅ ਪਾਸ ਹੁੰਦਾ ਹੈ ਅਤੇ ਦੂਜਾ ਨਕਾਰਦਾ ਹੈ। ਉਹਨਾਂ ਵਿੱਚੋਂ ਤਿੰਨ ਬਹੁਤਾ ਜੋਖਮ ਢਕਦੇ ਹਨ, ਅਤੇ ਹਰ ਇੱਕ ਦਾ ਬਹਿਸ ਨਹੀਂ ਬਲਕਿ ਜਾਂਚਣ ਯੋਗ ਉਮੀਦ ਕੀਤਾ ਨਤੀਜਾ ਹੈ।
ਆਮ ਪਹੁੰਚ ਮਨਜ਼ੂਰ ਅਤੇ ਸੰਵੇਦਨਸ਼ੀਲ ਭੂਮਿਕਾ ਗੈਰਹਾਜ਼ਰ ਹੋਣ 'ਤੇ, ਸੰਵੇਦਨਸ਼ੀਲ ਮੰਜ਼ਿਲ ਨਕਾਰੇ ਜਾਣ ਦੌਰਾਨ ਆਮ ਕੰਮ ਜਾਰੀ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ। ਦੋਵੇਂ ਪੜਾਅ ਮਨਜ਼ੂਰ ਕਰੋ ਅਤੇ ਪਹੁੰਚਯੋਗ ਸਮੂਹ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਨਾਮਿਤ ਰੱਖ-ਰਖਾਅ ਅੰਤ ਬਿੰਦੂ ਹੋਣੇ ਚਾਹੀਦੇ ਹਨ, ਇਸ ਤੋਂ ਵਿਆਪਕ ਨਹੀਂ। ਸੈਸ਼ਨ ਦੇ ਵਿਚਕਾਰ ਹੱਕ ਰੱਦ ਹੋਣ 'ਤੇ, ਸਹਿਮਤ ਸੈਸ਼ਨ ਨੀਤੀ ਅਸੰਬੰਧਿਤ ਆਮ ਪਹੁੰਚ ਨੂੰ ਤੋੜੇ ਬਿਨਾਂ ਲਾਗੂ ਹੋਣੀ ਚਾਹੀਦੀ ਹੈ। ਉਹ ਰੱਦ ਕਰਨਾ ਮੌਜੂਦਾ ਸੈਸ਼ਨ ਨੂੰ ਤੁਰੰਤ ਖ਼ਤਮ ਕਰਦਾ ਹੈ ਜਾਂ ਅਗਲੀ ਮੁੜ-ਪ੍ਰਮਾਣਿਕਤਾ 'ਤੇ, ਇਹ ਨੀਤੀ ਫੈਸਲਾ ਹੈ ਜੋ ਸਮਝੌਤੇ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਮਨਜ਼ੂਰੀ ਦੇ ਕੇਸ ਲਿਖਣ ਵਾਲਾ ਵਿਅਕਤੀ ਘਟਨਾ ਦੌਰਾਨ ਉਹਨਾਂ ਦੀ ਵਿਆਖਿਆ ਕਰਨ ਵਾਲਾ ਵਿਅਕਤੀ ਨਹੀਂ ਹੈ।
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"ਜੋੜੀਆਂ ਨਿਰਭਰਤਾਵਾਂ ਗਿਣੋ
ਹਰ ਵਾਧੂ ਪੜਾਅ ਇੱਕ ਅਜਿਹਾ ਹਿੱਸਾ ਜੋੜਦਾ ਹੈ ਜੋ ਫੇਲ ਹੋ ਸਕਦਾ ਹੈ ਅਤੇ ਇੱਕ ਰਸਤਾ ਜੋ ਬਾਹਰਲੀ ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਸਹੀ ਢੰਗ ਨਾਲ ਨੈਸਟ ਹੋਣਾ ਚਾਹੀਦਾ ਹੈ। ਅੰਸ਼ਕ ਫੇਲ੍ਹ ਹੋਣ ਦੌਰਾਨ ਬਾਹਰਲਾ ਰਸਤਾ ਉੱਪਰ ਰਹਿੰਦਾ ਹੈ ਜਦੋਂ ਕਿ ਅੰਦਰਲਾ ਪਹੁੰਚ ਤੋਂ ਬਾਹਰ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਵਰਤੋਂਕਾਰ ਕਦੇ ਜਵਾਬ ਨਾ ਦੇਣ ਵਾਲੀ ਸੇਵਾ ਦੇ ਕੋਲ ਸਿਹਤਮੰਦ VPN ਆਈਕਨ ਦੇਖਦਾ ਹੈ।
ਸਿਰਫ਼ ਆਮ ਸਥਿਤੀ ਵਿੱਚ ਨਹੀਂ, ਫੇਲ੍ਹ ਹੋਣ 'ਤੇ ਰਸਤੇ ਅਤੇ ਰੋਕ ਨਿਯਮ ਜਾਂਚੋ। ਬਾਹਰਲੀ ਸੁਰੰਗ ਵੱਲੋਂ ਧੱਕਿਆ ਡਿਫ਼ਾਲਟ ਰਸਤਾ ਅੰਦਰਲੇ ਦਰਵਾਜ਼ੇ ਦਾ ਆਪਣਾ ਪਤਾ ਫੜ ਸਕਦਾ ਹੈ, ਜੋ ਦੂਜੇ ਪੜਾਅ ਨੂੰ ਸਥਾਪਿਤ ਹੋ ਕੇ ਫਿਰ ਡਿੱਗਣ ਵਾਲਾ ਕਨੈਕਸ਼ਨ ਬਣਾ ਦਿੰਦਾ ਹੈ। ਦਰਜ ਕਰੋ ਕਿ ਅੰਦਰਲੀ ਸੁਰੰਗ ਨਾ ਹੋਣ 'ਤੇ ਕੀ ਰੋਕਿਆ ਰਹਿਣਾ ਚਾਹੀਦਾ ਹੈ, ਕਿਉਂਕਿ ਇਸ ਦੇ ਆਲੇ-ਦੁਆਲੇ ਦੁਰਘਟਨਾਵਸ਼ ਫਾਲਬੈਕ ਸਾਫ਼ ਰੁਕਾਵਟ ਤੋਂ ਬਦਤਰ ਹੈ। ਦੋਵੇਂ ਹਾਪਾਂ 'ਤੇ ਇੱਕੋ ਜਾਂਚ ਆਕਾਰ ਵਰਤੋ, ਤਾਂ ਜੋ ਹਰ ਇੱਕ ਮੰਨਿਆ ਨਹੀਂ ਬਲਕਿ ਮਾਪਿਆ ਜਾਵੇ। ਦੋ ਜੁੜੇ ਸਥਿਤੀ ਸੂਚਕ ਨਾ ਨੈਸਟਿੰਗ ਸਥਾਪਿਤ ਕਰਦੇ ਹਨ ਨਾ ਵੱਖਰਤਾ।
ਦੂਜਾ ਦਰਵਾਜ਼ਾ ਤੁਹਾਡੇ ਲਈ ਕੀ ਨਹੀਂ ਖਰੀਦ ਸਕਦਾ
ਪੁੱਛੋ ਕਿ ਕੀ ਦੋਵੇਂ ਦਰਵਾਜ਼ੇ ਇੱਕ ਪ੍ਰਮਾਣ ਪੱਤਰ, ਇੱਕ ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀ ਜਾਂ ਇੱਕ ਪ੍ਰਬੰਧਨ ਤਲ ਸਾਂਝੇ ਕਰਦੇ ਹਨ। ਜਿੱਥੇ ਕਰਦੇ ਹਨ, ਉੱਥੇ ਉਹ ਆਪਣੇ ਸਭ ਤੋਂ ਮਹੱਤਵਪੂਰਨ ਫੇਲ੍ਹ ਮੋਡ ਵੀ ਸਾਂਝੇ ਕਰਦੇ ਹਨ, ਅਤੇ ਦੂਜਾ ਪੜਾਅ ਦਿਸਦੀ ਆਜ਼ਾਦੀ ਤੋਂ ਵੱਧ ਖਰਚਦਾ ਹੈ। ਵੱਖਰੇ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫਿਕ ਸੈਸ਼ਨ ਵੱਖਰੇ ਪ੍ਰਬੰਧਕੀ ਨਿਯੰਤਰਣ ਨਹੀਂ ਬਣਾਉਂਦੇ।
ਅੰਦਰਲਾ ਦਰਵਾਜ਼ਾ ਉਦੋਂ ਤੱਕ ਰੱਖੋ ਜਿੰਨਾ ਚਿਰ ਇਹ ਅਜਿਹੀ ਲੋੜ ਲਾਗੂ ਕਰਦਾ ਹੈ ਜੋ ਤੁਸੀਂ ਦੱਸ ਅਤੇ ਪਰਖ ਸਕਦੇ ਹੋ, ਜਿਵੇਂ ਕਿ ਅਜਿਹੀ ਭੂਮਿਕਾ ਜੋ ਬਾਹਰਲਾ ਡੋਮੇਨ ਕਦੇ ਨਹੀਂ ਜਾਂਚਦਾ। ਇਸ ਨੂੰ ਹਟਾ ਦਿਓ ਜਦੋਂ ਇਸ ਦਾ ਇਕੋ ਕੰਮ ਉਸੇ ਪਛਾਣ ਨੂੰ ਉਹਨਾਂ ਹੀ ਮੰਜ਼ਿਲਾਂ ਵਿਰੁੱਧ ਮੁੜ-ਪ੍ਰਮਾਣਿਤ ਕਰਨਾ ਹੋਵੇ। ਕਿਸੇ ਵੀ ਤਰ੍ਹਾਂ, ਲੋੜ, ਮਾਲਕ ਅਤੇ ਫੇਲ੍ਹ ਵਿਵਹਾਰ ਇਕੱਠੇ ਦਰਜ ਕਰੋ, ਤਾਂ ਜੋ ਅਗਲੀ ਸਮੀਖਿਆ ਚਿੱਤਰ ਬਾਰੇ ਨਹੀਂ ਬਲਕਿ ਲੋੜ ਬਾਰੇ ਬਹਿਸ ਕਰੇ।