Două porți VPN în serie: ce decide de fapt fiecare
Două etape VPN în serie ar trebui să însemne două decizii de permisiune separate. Numiți ce verifică fiecare poartă, apoi testați ce refuză cea interioară.
Înlănțuirea a două VPN-uri este vândută de obicei ca criptare suplimentară, ceea ce este cel mai puțin interesant lucru pe care îl face. Produsul real este o a doua decizie de autorizare, luată de un alt proprietar asupra unui alt set de resurse. Dacă ambele etape acceptă aceeași acreditare și ajung la aceleași destinații, poarta interioară este decor cu latență suplimentară. Decizia dacă acea a doua decizie merită costul operațional începe cu numirea a ceea ce verifică de fapt fiecare poartă.
Un tunel, apoi o a doua decizie
Poarta exterioară răspunde la o întrebare largă: este acesta un dispozitiv aprobat al angajatului și poate ajunge la rețeaua internă generală. Poarta interioară răspunde la una mai îngustă: poartă această identitate dreptul de întreținere și poate ajunge la aceste puncte finale de administrare specifice. Sunt întrebări diferite cu proprietari diferiți și niciuna nu o implică pe cealaltă. Existența unei căi prin ambele etape nu este autoritate de a folosi ce se află în spatele celei de-a doua. A ajunge la intrarea îndepărtată dovedește că o rută funcționează, și nimic mai mult.
Principiul este vechi și încă ignorat: locația în rețea nu argumentează nimic de la sine. Rezumatul arhitecturii zero-trust a NIST o spune clar, respingând încrederea implicită care decurge din unde a venit o conexiune sau cine deține rețeaua. Aplicat aici, ajungerea la intrarea interioară este o condiție prealabilă pentru resursele ei, niciodată permisiunea de a le folosi.
Notați ce verifică fiecare poartă
Pentru fiecare etapă, înregistrați identitatea pe care o verifică, destinațiile pe care le permite și condițiile în care poate fi sărită. Poarta exterioară poate permite legitim servicii interne obișnuite plus ascultătorul porții interioare, și nimic altceva. Poarta interioară poate cere o revendicare de rol și poate permite doar adresele de administrare numite în registrul de modificări. Aplicația de la capătul îndepărtat păstrează ultimul cuvânt despre ce operațiuni poate efectua acel rol, așa că lanțul adaugă o poartă fără a înlocui autorizarea aplicației.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Două omisiuni strică proiectul în liniște. Dacă domeniul exterior ajunge deja direct la fiecare destinație sensibilă, poarta interioară este opțională, nu obligatorie. Dacă un ascultător public sau o a doua rută privată oferă același acces, calea dorită este o opțiune dintre mai multe. Atribuiți un proprietar și fiecărui set de reguli și faceți ca acordul lor să numească serviciile de destinație, identitățile de sursă permise, DNS-ul privat, traducerea adreselor și cine răspunde când predarea eșuează. O adresă de încredere în rețeaua exterioară nu trebuie să înlocuiască niciodată autorizarea domeniului interior.
Testați cazurile de refuz, nu calea fericită
O conexiune reușită prin ambele porți dovedește foarte puțin, pentru că acesta este cazul pe care toți l-au testat la implementare. Cazurile interesante sunt cele în care o etapă trece și cealaltă refuză. Trei dintre ele acoperă cea mai mare parte a riscului, iar fiecare are un rezultat așteptat care poate fi verificat în loc de discutat.
Cu accesul general aprobat și rolul sensibil absent, munca obișnuită trebuie să continue în timp ce destinația sensibilă este refuzată. Aprobați ambele etape și setul accesibil ar trebui să fie punctele finale de întreținere numite în registrul de modificări, nimic mai larg. Cu dreptul revocat la mijlocul sesiunii, politica de sesiune convenită trebuie să intre în vigoare fără a demonta accesul general nelegat. Dacă acea revocare încheie o sesiune existentă imediat sau la următoarea reautentificare este o decizie de politică pe care contractul ar trebui să o conțină deja. Cine a scris cazurile de acceptare nu este persoana care ar trebui să le interpreteze în timpul unui incident.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Numărați dependențele adăugate
Fiecare etapă suplimentară adaugă o componentă care poate eșua și o rută care trebuie să se îmbrice corect în tunelul exterior. În timpul unei defecțiuni parțiale, calea exterioară rămâne în funcțiune în timp ce cea interioară este inaccesibilă, așa că utilizatorul vede o pictogramă VPN sănătoasă lângă un serviciu care nu răspunde niciodată.
Verificați rutele și regulile de blocare în caz de defecțiune, nu doar în cazul normal. O rută implicită împinsă de tunelul exterior poate captura adresa porții interioare înseși, ceea ce transformă a doua etapă într-o conexiune care se stabilește și apoi cade. Înregistrați ce trebuie să rămână blocat cât timp tunelul interior lipsește, pentru că o retragere accidentală în jurul lui este mai rea decât o întrerupere curată. Folosiți aceeași formă de sondă pe ambele salturi, astfel încât fiecare să fie măsurat, nu presupus. Doi indicatori de conectare nu stabilesc nici imbricare, nici izolare.
Ce nu vă poate cumpăra a doua poartă
Întrebați dacă cele două porți împart o acreditare, o autoritate de certificare sau un plan de administrare. Unde o fac, împart și cele mai importante moduri de eșec ale lor, iar a doua etapă costă mai mult decât independența pe care pare să o adauge. Sesiunile criptografice separate nu creează controale administrative separate.
Păstrați poarta interioară atât timp cât impune o cerință pe care o puteți enunța și testa, cum ar fi un rol pe care domeniul exterior nu îl verifică niciodată. Eliminați-o când singura ei sarcină este să reautentifice aceeași identitate față de aceleași destinații. În orice caz, înregistrați cerința, proprietarul și comportamentul la eșec împreună, astfel încât următoarea revizuire să dezbată cerința, nu diagrama.