පේළියක් ලෙස VPN ද්වාර දෙකක්: එක් එක් ගේට්ටුව ඇත්තටම තීරණය කරන්නේ කුමක්ද
පේළියක් ලෙස VPN අදියර දෙකක් යනු වෙන වෙනම අවසර තීරණ දෙකක් විය යුතුය. එක් එක් ගේට්ටුව පරීක්ෂා කරන්නේ කුමක්දැයි නම් කරන්න, පසුව ඇතුළත ගේට්ටුව ප්‍රතික්ෂේප කරන්නේ කුමක්දැයි පරීක්ෂා කරන්න.
VPN දෙකක් එකට සම්බන්ධ කිරීම සාමාන්‍යයෙන් අමතර සංකේතනයක් ලෙස විකුණනු ලැබේ, නමුත් එය එය කරන වඩාත්ම අනාකර්ෂණීය දෙයයි. සැබෑ නිෂ්පාදනය වන්නේ දෙවන අවසර තීරණයයි, එය වෙනත් හිමිකරුවෙකු වෙනත් සම්පත් කට්ටලයක් සම්බන්ධයෙන් ගනී. අදියර දෙකම එකම අක්‍රමාංකය පිළිගෙන එකම ගමනාන්තවලට ළඟා වන්නේ නම්, ඇතුළත ගේට්ටුව අමතර ප්‍රමාදයක් සහිත අලංකාරයක් පමණි. එම දෙවන තීරණය එහි මෙහෙයුම් පිරිවැයට වටිනවාද යන්න තීරණය කිරීම එක් එක් ගේට්ටුව ඇත්තටම සත්‍යාපනය කරන්නේ කුමක්දැයි නම් කිරීමෙන් ආරම්භ වේ.
එක් උමං මාර්ගයක්, පසුව දෙවන තීරණයක්
පිටත ගේට්ටුව පුළුල් ප්‍රශ්නයකට පිළිතුරු දෙයි: මෙය අනුමත සේවක උපාංගයක්ද, එය සාමාන්‍ය අභ්‍යන්තර ජාලයට ළඟා විය හැකිද. ඇතුළත ගේට්ටුව වඩාත් පටු එකකට: මෙම අනන්‍යතාවයට නඩත්තු අයිතිය තිබේද, එය මෙම නිශ්චිත කළමනාකරණ අන්ත ලක්ෂ්‍යවලට ළඟා විය හැකිද. මේවා වෙනස් හිමිකරුවන් සහිත වෙනස් ප්‍රශ්න වන අතර එකක් අනෙක අදහස් නොකරයි. අදියර දෙක හරහා මාර්ගයක් පැවතීම දෙවැන්න පිටුපස ඇති දේ භාවිත කිරීමේ අධිකාරියක් නොවේ. දුරස්ථ පිවිසුමට ළඟා වීම මාර්ගයක් ක්‍රියා කරන බව සනාථ කරයි, ඊට වඩා නොවේ.
මූලධර්මය පැරණි වන අතර තවමත් නොසලකා හරිනු ලැබේ: ජාල ස්ථානය තමන් විසින්ම කිසිවක් සනාථ නොකරයි. NIST හි ශුන්‍ය-විශ්වාස ගෘහ නිර්මාණ සාරාංශය එය පැහැදිලිව පවසන අතර, සම්බන්ධතාවය පැමිණියේ කොහෙන්ද හෝ ජාලය කාගේද යන්නෙන් හටගන්නා ව්‍යංග විශ්වාසය ප්‍රතික්ෂේප කරයි. මෙහි යෙදූ විට, ඇතුළත පිවිසුමට ළඟා වීම එහි සම්පත් සඳහා පූර්ව කොන්දේසියකි, ඒවා භාවිත කිරීමේ අවසරය කිසිවිටෙකත් නොවේ.
එක් එක් ගේට්ටුව සත්‍යාපනය කරන්නේ කුමක්දැයි ලියන්න
එක් එක් අදියර සඳහා, එය පරීක්ෂා කරන අනන්‍යතාවය, එය අවසර දෙන ගමනාන්ත සහ එය මඟ හැරිය හැකි කොන්දේසි වාර්තා කරන්න. පිටත ගේට්ටුවට නීත්‍යානුකූලව සාමාන්‍ය අභ්‍යන්තර සේවා සහ ඇතුළත ගේට්ටුවේ ශ්‍රෝතාවට අවසර දිය හැකිය, අන් කිසිවක් නොවේ. ඇතුළත ගේට්ටුවට භූමිකා දාවයක් ඉල්ලා සිටිය හැකි අතර වෙනස්කම් වාර්තාවේ නම් කරන ලද කළමනාකරණ ලිපිනවලට පමණක් අවසර දිය හැකිය. දුරස්ථ කෙළවරේ යෙදුම එම භූමිකාවට කළ හැකි මෙහෙයුම් සම්බන්ධයෙන් අවසන් වචනය තබා ගනී, එබැවින් දාමය යෙදුම් අවසරය ප්‍රතිස්ථාපනය නොකර ද්වාරයක් එකතු කරයි.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
මඟ හැරීම් දෙකක් නිර්මාණය නිහඬව බිඳ දමයි. පිටත වසම දැනටමත් සෑම සංවේදී ගමනාන්තයකටම සෘජුවම ළඟා වන්නේ නම්, ඇතුළත ගේට්ටුව අනිවාර්ය නොව තේරීමකි. පොදු ශ්‍රෝතාවක් හෝ දෙවන පෞද්ගලික මාර්ගයක් එම ප්‍රවේශයම ලබා දෙන්නේ නම්, අපේක්ෂිත මාර්ගය විකල්ප කිහිපයකින් එකකි. එක් එක් නියම කට්ටලයට හිමිකරුවෙකු ද පත් කරන්න, ඔවුන්ගේ ගිවිසුම ගමනාන්ත සේවා, අවසර ලත් මූලාශ්‍ර අනන්‍යතා, පෞද්ගලික DNS, ලිපින පරිවර්තනය සහ භාරදීම අසාර්ථක වූ විට පිළිතුරු දෙන්නේ කවුද යන්න නම් කිරීමට ඉඩ දෙන්න. පිටත ජාලයේ විශ්වාස කරන ලිපිනයක් කිසිවිටෙකත් ඇතුළත වසමේ අවසරය ආදේශ කළ යුතු නොවේ.
ප්‍රතික්ෂේප අවස්ථා පරීක්ෂා කරන්න, සතුටු මාර්ගය නොවේ
ද්වාර දෙකම හරහා සාර්ථක සම්බන්ධතාවයක් ඉතා අල්පයක් සනාථ කරයි, මන්ද එය සියලු දෙනා යෙදවීමේදී පරීක්ෂා කළ අවස්ථාවයි. සිත්ගන්නා අවස්ථා වන්නේ එක් අදියරක් සමත් වී අනෙක ප්‍රතික්ෂේප කරන විටය. ඒවායින් තුනක් බොහෝ අවදානම ආවරණය කරන අතර, එක් එක් එකට වාද කිරීම වෙනුවට පරීක්ෂා කළ හැකි අපේක්ෂිත ප්‍රතිඵලයක් ඇත.
සාමාන්‍ය ප්‍රවේශය අනුමත වී සංවේදී භූමිකාව නොමැති විට, සංවේදී ගමනාන්තය ප්‍රතික්ෂේප වන අතරතුර සාමාන්‍ය කාර්යය දිගටම කළ යුතුය. අදියර දෙකම අනුමත කරන්න, එවිට ළඟා විය හැකි කට්ටලය වෙනස්කම් වාර්තාවේ නම් කරන ලද නඩත්තු අන්ත ලක්ෂ්‍ය විය යුතුය, ඊට පුළුල් නොවේ. සැසිය මැදදී අයිතිය අවලංගු කළහොත්, එකඟ වූ සැසි ප්‍රතිපත්තිය සම්බන්ධ නොවන සාමාන්‍ය ප්‍රවේශය නොබිඳ ක්‍රියාත්මක විය යුතුය. එම අවලංගු කිරීම පවතින සැසියක් වහාම අවසන් කරයිද නැතහොත් ඊළඟ නැවත සත්‍යාපනයේදීද යන්න ගිවිසුමේ දැනටමත් තිබිය යුතු ප්‍රතිපත්ති තීරණයකි. පිළිගැනීමේ අවස්ථා ලිව්වේ කවුද, සිද්ධියකදී ඒවා අර්ථ නිරූපණය කළ යුත්තේ ඔහු නොවේ.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"ඔබ එකතු කළ යැපීම් ගණන් කරන්න
සෑම අමතර අදියරක්ම අසාර්ථක විය හැකි සංරචකයක් සහ පිටත උමං මාර්ගය තුළ නිවැරදිව කැදැල් විය යුතු මාර්ගයක් එකතු කරයි. අර්ධ අසාර්ථකත්වයේදී පිටත මාර්ගය ඉහළින් පවතින අතර ඇතුළත එකට ළඟා විය නොහැක, එබැවින් පරිශීලකයා කිසිවිටෙකත් පිළිතුරු නොදෙන සේවාවක් අසල සෞඛ්‍ය සම්පන්න VPN නිරූපකයක් දකී.
සාමාන්‍ය අවස්ථාවේදී පමණක් නොව, අසාර්ථකත්වයේදී මාර්ග සහ අවහිර කිරීමේ නියම පරීක්ෂා කරන්න. පිටත උමං මාර්ගය විසින් තල්ලු කරන පෙරනිමි මාර්ගය ඇතුළත ගේට්ටුවේම ලිපිනය අල්ලා ගත හැක, එය දෙවන අදියර ස්ථාපිත වී පසුව වැටෙන සම්බන්ධතාවයක් බවට පත් කරයි. ඇතුළත උමං මාර්ගය නොමැති විට කුමක් අවහිරව තිබිය යුතුද වාර්තා කරන්න, මන්ද එය වටා අහම්බෙන් ආපසු යාම පිරිසිදු බාධාවකට වඩා නරකය. හොප් දෙකේම එකම පරීක්ෂණ හැඩය භාවිත කරන්න, එවිට එක් එක් උපකල්පනය නොකර මනිනු ලැබේ. සම්බන්ධිත තත්ත්ව දර්ශක දෙකක් කැදැල් කිරීම හෝ හුදකලා කිරීම තහවුරු නොකරයි.
දෙවන ගේට්ටුවට ඔබ වෙනුවෙන් මිලදී ගත නොහැකි දේ
ද්වාර දෙක එකම අක්‍රමාංකයක්, සහතික අධිකාරියක් හෝ කළමනාකරණ තලයක් බෙදා ගන්නවාදැයි අසන්න. බෙදා ගන්නා තැන, ඔවුන් ඔවුන්ගේ වඩාත්ම වැදගත් අසාර්ථක ක්‍රම ද බෙදා ගනී, දෙවන අදියර පෙනෙන ස්වාධීනත්වයට වඩා වැඩි පිරිවැයක් දරයි. වෙන වෙනම සංකේතන සැසි වෙන වෙනම පරිපාලන පාලන සාදන්නේ නැත.
ඔබට ප්‍රකාශ කර පරීක්ෂා කළ හැකි අවශ්‍යතාවයක් ඇතුළත ගේට්ටුව බලාත්මක කරන තාක් එය තබා ගන්න, උදාහරණයක් ලෙස පිටත වසම කිසිවිටෙකත් පරීක්ෂා නොකරන භූමිකාවක්. එහි එකම කාර්යය එකම අනන්‍යතාවය එකම ගමනාන්තවලට එරෙහිව නැවත සත්‍යාපනය කිරීම වූ විට එය ඉවත් කරන්න. කෙසේ වුවද, අවශ්‍යතාවය, හිමිකරු සහ අසාර්ථක හැසිරීම එකට වාර්තා කරන්න, ඊළඟ සමාලෝචනය රූප සටහන ගැන නොව අවශ්‍යතාවය ගැන වාද කරන පරිදි.