Dve VPN brány za sebou: čo každá skutočne rozhoduje
Dve fázy VPN za sebou by mali znamenať dve samostatné rozhodnutia o povolení. Pomenujte, čo každá brána kontroluje, a potom otestujte, čo vnútorná odmieta.
Reťazenie dvoch VPN sa zvyčajne predáva ako dodatočné šifrovanie, čo je to najmenej zaujímavé, čo robí. Skutočným produktom je druhé rozhodnutie o autorizácii, ktoré prijíma iný vlastník voči inej množine zdrojov. Ak obe fázy prijímajú rovnaké prihlasovacie údaje a dosahujú rovnaké ciele, vnútorná brána je dekorácia s dodatočnou latenciou. Rozhodnutie, či toto druhé rozhodnutie stojí za svoje prevádzkové náklady, začína pomenovaním toho, čo každá brána skutočne overuje.
Jeden tunel, potom druhé rozhodnutie
Vonkajšia brána odpovedá na širokú otázku: je toto schválené zariadenie zamestnanca a smie dosiahnuť všeobecnú internú sieť. Vnútorná brána odpovedá na užšiu: nesie táto identita oprávnenie na údržbu a smie dosiahnuť tieto konkrétne koncové body správy. To sú rôzne otázky s rôznymi vlastníkmi a ani jedna neimplikuje druhú. Existencia cesty oboma fázami nie je oprávnením používať to, čo stojí za druhou. Dosiahnutie vzdialeného vchodu dokazuje, že trasa funguje, a nič viac.
Princíp je starý a stále ignorovaný: sieťová poloha sama o sebe nič nezdôvodňuje. Zhrnutie architektúry nulovej dôvery NIST to hovorí jasne a odmieta implicitnú dôveru, ktorá vyplýva z toho, odkiaľ spojenie prišlo alebo komu sieť patrí. Aplikované tu, dosiahnutie vnútorného vchodu je predpokladom pre jeho zdroje, nikdy oprávnením ich používať.
Zapíšte, čo každá brána overuje
Pre každú fázu zaznamenajte identitu, ktorú kontroluje, ciele, ktoré povoľuje, a podmienky, za ktorých ju možno preskočiť. Vonkajšia brána môže legitímne povoliť bežné interné služby plus listener vnútornej brány, a nič iné. Vnútorná brána môže vyžadovať nárok na rolu a povoliť iba adresy správy uvedené v zázname o zmene. Aplikácia na vzdialenom konci si ponecháva posledné slovo o tom, aké operácie smie táto rola vykonávať, takže reťaz pridáva bránu bez toho, aby nahradila autorizáciu aplikácie.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dve vynechania ticho rozbíjajú návrh. Ak vonkajšia doména už priamo dosahuje každý citlivý cieľ, vnútorná brána je voliteľná, nie povinná. Ak verejný listener alebo druhá súkromná trasa ponúka rovnaký prístup, zamýšľaná cesta je jedna z viacerých možností. Priraďte vlastníka aj každej množine pravidiel a nechajte ich zmluvu pomenovať cieľové služby, povolené zdrojové identity, súkromný DNS, preklad adries a kto odpovedá, keď odovzdanie zlyhá. Adresa, ktorej sa dôveruje vo vonkajšej sieti, nesmie nikdy nahradiť autorizáciu vnútornej domény.
Testujte prípady odmietnutia, nie šťastnú cestu
Úspešné spojenie oboma bránami dokazuje veľmi málo, pretože to je prípad, ktorý všetci testovali pri zavádzaní. Zaujímavé sú prípady, keď jedna fáza prejde a druhá odmietne. Tri z nich pokrývajú väčšinu rizika a každý má očakávaný výsledok, ktorý možno overiť, nie o ňom diskutovať.
So schváleným všeobecným prístupom a chýbajúcou citlivou rolou musí bežná práca pokračovať, zatiaľ čo citlivý cieľ je odmietnutý. Schváľte obe fázy a dosiahnuteľná množina má byť koncové body údržby uvedené v zázname o zmene, nič širšie. Pri odvolaní oprávnenia uprostred relácie musí dohodnutá politika relácie vstúpiť do platnosti bez toho, aby rozbila nesúvisiaci všeobecný prístup. Či toto odvolanie ukončí existujúcu reláciu hneď alebo pri ďalšej reautentifikácii, je rozhodnutie o politike, ktoré by zmluva už mala obsahovať. Kto napísal akceptačné prípady, nie je ten, kto by ich mal vykladať počas incidentu.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Spočítajte závislosti, ktoré ste pridali
Každá ďalšia fáza pridáva komponent, ktorý môže zlyhať, a trasu, ktorá sa musí správne vnoriť do vonkajšieho tunela. Pri čiastočnom zlyhaní vonkajšia cesta zostáva hore, zatiaľ čo vnútorná je nedostupná, takže používateľ vidí zdravú ikonu VPN vedľa služby, ktorá nikdy neodpovedá.
Skontrolujte trasy a pravidlá blokovania pri zlyhaní, nielen v normálnom prípade. Predvolená trasa presadená vonkajším tunelom môže zachytiť vlastnú adresu vnútornej brány, čo zmení druhú fázu na spojenie, ktoré sa nadviaže a potom spadne. Zaznamenajte, čo má zostať zablokované, kým vnútorný tunel chýba, pretože náhodný obchvat okolo neho je horší než čistý výpadok. Použite rovnaký tvar sondy na oboch skokoch, aby bol každý meraný, nie predpokladaný. Dva indikátory pripojenia nepreukazujú ani vnorenie, ani izoláciu.
Čo vám druhá brána nemôže kúpiť
Opýtajte sa, či obe brány zdieľajú prihlasovacie údaje, certifikačnú autoritu alebo rovinu správy. Kde zdieľajú, zdieľajú aj svoje najdôležitejšie režimy zlyhania, a druhá fáza stojí viac než nezávislosť, ktorú zdanlivo pridáva. Oddelené kryptografické relácie nevytvárajú oddelené administratívne kontroly.
Ponechajte vnútornú bránu, kým vynucuje požiadavku, ktorú môžete vysloviť a otestovať, napríklad rolu, ktorú vonkajšia doména nikdy nekontroluje. Odstráňte ju, keď je jej jedinou úlohou znovu autentifikovať rovnakú identitu voči rovnakým cieľom. V každom prípade zaznamenajte požiadavku, vlastníka a správanie pri zlyhaní spolu, aby sa budúca revízia hádala o požiadavke, nie o diagrame.