Dve VPN vratni zaporedoma: kaj vsaka v resnici odloči
Dve stopnji VPN zaporedoma bi morali pomeniti dve ločeni odločitvi o dovoljenju. Poimenujte, kaj preverja vsaka vrata, nato preizkusite, kaj zavrne notranja.
Veriženje dveh VPN se običajno prodaja kot dodatno šifriranje, kar je najmanj zanimiva stvar, ki jo počne. Pravi izdelek je druga odločitev o avtorizaciji, ki jo sprejme drug lastnik glede na drug nabor virov. Če obe stopnji sprejmeta iste poverilnice in dosežeta iste cilje, so notranja vrata okras z dodatno zakasnitvijo. Odločitev, ali je ta druga odločitev vredna svojih obratovalnih stroškov, se začne s poimenovanjem tega, kaj vsaka vrata v resnici preverjajo.
En tunel, nato druga odločitev
Zunanja vrata odgovarjajo na široko vprašanje: ali je to odobrena naprava zaposlenega in ali lahko doseže splošno notranje omrežje. Notranja vrata odgovarjajo na ožje: ali ima ta identiteta pravico do vzdrževanja in ali lahko doseže te določene upravljalne končne točke. To so različna vprašanja z različnimi lastniki in nobeno ne vključuje drugega. Obstoj poti skozi obe stopnji ni pooblastilo za uporabo tega, kar stoji za drugo. Doseči oddaljeni vhod dokazuje, da pot deluje, in nič več.
Načelo je staro in še vedno ignorirano: omrežna lokacija sama po sebi ničesar ne utemeljuje. Povzetek arhitekture ničelnega zaupanja NIST to pove jasno in zavrača implicitno zaupanje, ki izhaja iz tega, od kod je prišla povezava ali kdo ima omrežje. Tukaj uporabljeno: prihod na notranji vhod je pogoj za njegove vire, nikoli dovoljenje za njihovo uporabo.
Zapišite, kaj preverja vsaka vrata
Za vsako stopnjo zabeležite identiteto, ki jo preverja, cilje, ki jih dovoljuje, in pogoje, pod katerimi jo je mogoče preskočiti. Zunanja vrata lahko zakonito dovolijo običajne notranje storitve plus poslušalca notranjih vrat, in nič drugega. Notranja vrata lahko zahtevajo zahtevek za vlogo in dovolijo le naslove upravljanja, navedene v zapisu spremembe. Aplikacija na oddaljenem koncu obdrži zadnjo besedo o tem, katere operacije sme ta vloga izvajati, zato veriga doda vrata, ne da bi nadomestila avtorizacijo aplikacije.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dve izpustitvi tiho zlomita zasnovo. Če zunanja domena že neposredno doseže vsak občutljiv cilj, so notranja vrata izbirna, ne obvezna. Če javni poslušalec ali druga zasebna pot ponuja enak dostop, je predvidena pot ena od več možnosti. Dodelite lastnika tudi vsakemu naboru pravil in naj njihova pogodba poimenuje ciljne storitve, dovoljene izvorne identitete, zasebni DNS, prevajanje naslovov in kdo odgovarja, ko predaja ne uspe. Naslov, ki mu zaupajo v zunanjem omrežju, nikoli ne sme nadomestiti avtorizacije notranje domene.
Preizkusite primere zavrnitve, ne srečne poti
Uspešna povezava skozi obe vrati dokazuje zelo malo, ker je to primer, ki so ga vsi preizkusili ob uvedbi. Zanimivi so primeri, ko ena stopnja preide, druga pa zavrne. Trije od njih pokrivajo večino tveganja in vsak ima pričakovan izid, ki ga je mogoče preveriti, ne pa razpravljati.
Ko je splošni dostop odobren in občutljive vloge ni, mora običajno delo potekati, medtem ko je občutljivi cilj zavrnjen. Odobrite obe stopnji in dosegljiva množica naj bodo končne točke vzdrževanja, navedene v zapisu spremembe, nič širše. Če je pravica preklicana sredi seje, mora dogovorjena politika seje začeti veljati, ne da bi raztrgala nepovezan splošni dostop. Ali ta preklic konča obstoječo sejo takoj ali ob naslednji ponovni overitvi, je odločitev o politiki, ki bi jo pogodba že morala vsebovati. Kdor je napisal sprejemne primere, ni oseba, ki bi jih morala razlagati med incidentom.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Preštejte dodane odvisnosti
Vsaka dodatna stopnja doda komponento, ki lahko odpove, in pot, ki se mora pravilno vgnezditi v zunanji tunel. Med delno odpovedjo zunanja pot ostane pokonci, notranja pa je nedosegljiva, zato uporabnik vidi zdravo ikono VPN ob storitvi, ki nikoli ne odgovori.
Preverite poti in pravila blokiranja ob odpovedi, ne le v običajnem primeru. Privzeta pot, ki jo potisne zunanji tunel, lahko ujame naslov notranjih vrat samega, kar drugo stopnjo spremeni v povezavo, ki se vzpostavi in nato pade. Zabeležite, kaj naj ostane blokirano, dokler notranjega tunela ni, ker je naključni povratek okoli njega slabši od čistega izpada. Uporabite enako obliko sonde na obeh skokih, da se vsak izmeri, ne pa domneva. Dva indikatorja povezave ne dokazujeta ne vgnezdenja ne izolacije.
Česa vam druga vrata ne morejo kupiti
Vprašajte, ali si dve vrati delita poverilnice, certifikacijsko telo ali ravnino upravljanja. Kjer si jih, si delita tudi najpomembnejše načine odpovedi, in druga stopnja stane več kot neodvisnost, ki jo navidezno dodaja. Ločene kriptografske seje ne ustvarijo ločenih upravljavskih kontrol.
Zadržite notranja vrata, dokler uveljavljajo zahtevo, ki jo lahko navedete in preizkusite, na primer vlogo, ki je zunanja domena nikoli ne preveri. Odstranite jih, ko je njihova edina naloga ponovno overiti isto identiteto pri istih ciljih. V vsakem primeru zabeležite zahtevo, lastnika in vedenje ob odpovedi skupaj, da se bo naslednji pregled prepiral o zahtevi, ne o diagramu.