په لړ کې دوه VPN دروازې: هر یو واقعاً څه فیصله کوي
په لړ کې دوه VPN پړاوونه باید د دوو جلا اجازې پرېکړو مانا ولري. هر دروازه څه ګوري هغه ونوموئ، بیا وګورئ چې دنننۍ دروازه څه ردوي.
د دوو VPN-ونو یوځای کول معمولاً د اضافي کوډ کولو په توګه پلورل کیږي، چې دا یې ترټولو لږ په زړه پوري کار دی. ریښتینی محصول دوهمه اجازه پرېکړه ده، چې بېل مالک پر بېلې سرچینې ټولګې کوي. که دواړه پړاوونه یو شان سند ومني او یو شان منزلونو ته ورسیږي، دنننۍ دروازه د اضافي ځنډ سره ښکلا ده. دا پرېکړه چې آیا هغه دوهمه پرېکړه د خپل عملیاتي لګښت وړ ده، د دې په نومولو پیل کیږي چې هر دروازه واقعاً څه تصدیقوي.
یوه تونل، بیا دوهمه پرېکړه
بهرنۍ دروازه پر یوه پراخه پوښتنې ځواب ورکوي: آیا دا د کارکوونکي منل شوی وسیله ده، او آیا کولی شي عمومي داخلي شبکې ته ورسیږي. دنننۍ دروازه پر یوه تنګې: آیا دا هویت د ساتنې حق لري، او آیا کولی شي دې ځانګړو مدیریت پای ټکو ته ورسیږي. دا بېلې پوښتنې د بېلو مالکانو سره دي، او هیڅ یوه بله نه لري. د دواړو پړاوونو له لارې د لارې شتون د دوهمې شاته موجود شي کارولو واک نه دی. لیرې ننوتلو ته رسیدل ثابتوي چې یوه لاره کار کوي، او نه نور.
اصل زوړ دی او لا هم له پامه غورځول کیږي: د شبکې ځای په خپله هیڅ ثابتوي نه. د NIST د صفر باور معمارۍ لنډیز دا په روښانه توګه وایي، او هغه پټ باور ردوي چې د اړیکې د سرچینې یا د شبکې د مالکیت څخه راپیدا کیږي. دلته پلي شوی، دنننۍ ننوتلو ته رسیدل د هغې د سرچینو لپاره مخکینی شرط دی، هیڅکله د هغوی د کارولو اجازه نه.
ولیکئ چې هر دروازه څه تصدیقوي
د هر پړاو لپاره، هغه هویت چې ګوري، هغه منزلونه چې اجازه ورکوي، او هغه شرایط چې له مخې یې تیریدلی شي ثبت کړئ. بهرنۍ دروازه کولی شي په قانوني ډول عادي داخلي خدمات او د دنننۍ دروازې اوریدونکي ته اجازه ورکړي، او نه نور. دنننۍ دروازه کولی شي د رول غوښتنه وغواړي او یوازې په بدلون ثبت کې نومول شوو مدیریت پتو ته اجازه ورکړي. په لیرې پای کې اپلیکیشن د دې په اړه وروستی ټکی ساتي چې هغه رول کوم عملیات کولی شي، نو لړ یوه دروازه زیاتوي پرته له دې چې د اپلیکیشن اجازه بدله کړي.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
دوه پریښونې ډیزاین په چوپتیا ماتوي. که بهرنۍ ډومین لا دمخه هر حساس منزل ته مستقیم رسیږي، دنننۍ دروازه اختیاري ده نه لازمي. که عامه اوریدونکی یا دوهمه خصوصي لاره ورته لاسرسی وړاندې کوي، پلان شوې لاره له څو انتخابونو یوه ده. هر اصول ټولګې ته مالک هم وټاکئ، او اجازه ورکړئ چې د دوی قرارداد د منزل خدمات، اجازه شوې سرچینې هویتونه، خصوصي DNS، د پتو ژباړه او دا چې د سپارلو په ناکامۍ کې څوک ځواب ورکوي ونوموي. په بهرنۍ شبکه کې باوري پته باید هیڅکله د دنننۍ ډومین اجازه بدله نه کړي.
د ردولو حالتونه وآزمویئ، نه خوشحاله لاره
د دواړو دروازو له لارې بریالۍ اړیکه ډیر لږ ثابتوي، ځکه چې هغه حالت دی چې هر چا د خپرولو پر مهال آزمولی. په زړه پوري حالتونه هغه دي چې یو پړاو تیریږي او بل ردوي. له هغوی درې ډیری خطر پوښي، او هر یو د بحث نه د کتل وړ تمه شوې پایله لري.
د عمومي لاسرسي له تصویب او د حساس رول له نشت سره، عادي کار باید دوام وکړي پداسې حال کې چې حساس منزل رد کیږي. دواړه پړاوونه تصویب کړئ او د رسیدو وړ ټولګه باید په بدلون ثبت کې نومول شوي د ساتنې پای ټکي وي، نه پراختر. که حق د غونډې په مینځ کې لغوه شي، موافقه شوې غونډې تګلاره باید پرته له دې چې نااړونده عمومي لاسرسی مات کړي نافذ شي. ایا هغه لغوه کول موجوده غونډه سمدلاسه پای ته رسوي که په راتلونکې بیا تصدیق کې، دا تګلاره پرېکړه ده چې قرارداد باید لا دمخه ولري. هغه څوک چې د منلو حالتونه لیکلي هغه څوک نه دی چې د پیښې پر مهال یې تفسیر کړي.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"هغه انحصارونه وشمئ چې تاسو اضافه کړي
هر اضافي پړاو یو جز اضافه کوي چې ناکامیدلی شي او یوه لاره چې باید په بهرنۍ تونل کې سم ځای ونیسي. د جزوي ناکامۍ پر مهال بهرنۍ لاره پورته پاتې کیږي پداسې حال کې چې دنننۍ نه رسیږي، نو کاروونکی د هغه خدمت تر څنګ روغ VPN نښه ویني چې هیڅکله ځواب نه ورکوي.
لارې او د بندیز اصول یوازې په عادي حالت کې نه، بلکې په ناکامۍ کې هم وګورئ. هغه ډیفالټ لاره چې بهرنۍ تونل یې ټېله کوي کولی شي د دنننۍ دروازې خپله پته ونیسي، چې دوهم پړاو په داسې اړیکه بدلوي چې جوړیږي او بیا لویدل کیږي. ثبت کړئ چې د دنننۍ تونل په نشت کې څه باید بند پاتې شي، ځکه چې د هغې شاوخوا ناڅاپي بیرته تګ له پاک قطع څخه بدتر دی. په دواړو ټوپونو کې ورته پلټنې بڼه وکاروئ، ترڅو هر یو د اټکل پر ځای وټکل شي. دوه نښلول شوي حالت ښودونکي نه ځای ناستی ثابتوي او نه جلاوالی.
هغه څه چې دوهمه دروازه یې تاسو لپاره نشي پیرودلی
وپوښتئ چې ایا دواړه دروازې یو سند، یو تصدیق واک یا یوه مدیریت سطحه شریکوي. چیرې چې شریکوي، هلته خپل مهم ناکامۍ حالتونه هم شریکوي، او دوهم پړاو له هغه خپلواکۍ څخه ډیر لګښت لري چې ښکاري یې زیاتوي. جلا کوډ کولو غونډې جلا اداري کنټرولونه نه جوړوي.
دنننۍ دروازه وساتئ ترڅو چې هغه اړتیا پلي کوي چې تاسو یې بیان او ازمویلای شئ، لکه یو رول چې بهرنۍ ډومین یې هیڅکله نه ګوري. هغه لرې کړئ کله چې یوازینی کار یې هماغه هویت له هماغو منزلونو سره بیا تصدیقول وي. په هر حال، اړتیا، مالک او د ناکامۍ چلند یوځای ثبت کړئ، ترڅو راتلونکې بیاکتنه د ډیاګرام په اړه نه، بلکې د اړتیا په اړه بحث وکړي.