Dy porta VPN me radhë: çfarë vendos në të vërtetë secila
Dy faza VPN me radhë duhet të nënkuptojnë dy vendime leje të ndara. Emërtoni çfarë kontrollon secila portë, më pas provoni çfarë refuzon ajo e brendshme.
Zinxhirimi i dy VPN-ve zakonisht shitet si kriptim shtesë, që është gjëja më pak interesante që bën. Produkti i vërtetë është një vendim i dytë autorizimi, i marrë nga një pronar tjetër ndaj një grupi tjetër burimesh. Nëse të dy fazat pranojnë të njëjtin kredencial dhe arrijnë të njëjtat destinacione, porta e brendshme është zbukurim me vonesë shtesë. Vendimi nëse ai vendim i dytë vlen koston e tij operative fillon me emërtimin e asaj që secila portë verifikon në të vërtetë.
Një tunel, pastaj një vendim i dytë
Porta e jashtme përgjigjet një pyetjeje të gjerë: a është kjo një pajisje e miratuar e punonjësit, dhe a mund të arrijë rrjetin e brendshëm të përgjithshëm. Porta e brendshme përgjigjet një më të ngushtë: a e mban ky identitet të drejtën e mirëmbajtjes, dhe a mund të arrijë këto pika fundore të menaxhimit. Këto janë pyetje të ndryshme me pronarë të ndryshëm, dhe asnjëra nuk nënkupton tjetrën. Ekzistenca e një rruge nëpër të dyja fazat nuk është autoritet për të përdorur atë që qëndron pas së dytës. Arritja në hyrjen e largët provon se një rrugë funksionon, dhe asgjë më shumë.
Parimi është i vjetër dhe ende injorohet: vendndodhja në rrjet nuk argumenton asgjë në vetvete. Përmbledhje e arkitekturës zero-trust të NIST e thotë qartë, duke refuzuar besimin e nënkuptuar që rrjedh nga nga ka ardhur një lidhje ose kush zotëron rrjetin. E zbatuar këtu, arritja në hyrjen e brendshme është parakusht për burimet e saj, kurrë leja për t'i përdorur ato.
Shkruani çfarë verifikon secila portë
Për çdo fazë, regjistroni identitetin që kontrollon, destinacionet që lejon dhe kushtet në të cilat mund të anashkalohet. Porta e jashtme mund të lejojë ligjërisht shërbimet e zakonshme të brendshme plus dëgjuesin e portës së brendshme, dhe asgjë tjetër. Porta e brendshme mund të kërkojë një pretendim roli dhe të lejojë vetëm adresat e menaxhimit të përmendura në regjistrin e ndryshimit. Aplikacioni në skajin e largët mban fjalën e fundit për cilat operacione mund të kryejë ai rol, kështu që zinxhiri shton një portë pa zëvendësuar autorizimin e aplikacionit.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Dy lëshime e prishin dizajnin në heshtje. Nëse domeni i jashtëm tashmë arrin drejtpërdrejt çdo destinacion të ndjeshëm, porta e brendshme është opsionale, jo e detyrueshme. Nëse një dëgjues publik ose një rrugë e dytë private ofron të njëjtën akses, rruga e synuar është një opsion ndër disa. Caktoni gjithashtu një pronar për çdo grup rregullash, dhe lërini kontratat e tyre të emërtojnë shërbimet e destinacionit, identitetet e lejuara të burimit, DNS private, përkthimin e adresave dhe kush përgjigjet kur dorëzimi dështon. Një adresë që gëzon besim në rrjetin e jashtëm nuk duhet të zëvendësojë kurrë autorizimin e domenit të brendshëm.
Provoni rastet e refuzimit, jo rrugën e lumtur
Një lidhje e suksesshme nëpër të dyja portat provon shumë pak, sepse ky është rasti që të gjithë e provuan gjatë vendosjes. Rastet interesante janë ato ku një fazë kalon dhe tjetra refuzon. Tre prej tyre mbulojnë pjesën më të madhe të rrezikut, dhe secili ka një rezultat të pritur që mund të kontrollohet dhe jo të diskutohet.
Me aksesin e përgjithshëm të miratuar dhe rolin e ndjeshëm që mungon, puna e zakonshme duhet të vazhdojë ndërsa destinacioni i ndjeshëm refuzohet. Miratoni të dyja fazat dhe grupi i arritshëm duhet të jenë pikat fundore të mirëmbajtjes të përmendura në regjistrin e ndryshimit, asgjë më e gjerë. Me të drejtën e tërhequr në mes të sesionit, politika e rënë dakord e sesionit duhet të hyjë në fuqi pa shkëputur aksesin e përgjithshëm të palidhur. Nëse ajo tërheqje e përfundon një sesion ekzistues menjëherë ose në riautentikimin tjetër është një vendim politike që kontrata duhet ta përmbajë tashmë. Kush i shkroi rastet e pranimit nuk është personi që duhet t'i interpretojë ato gjatë një incidenti.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Numëroni varësitë që shtuat
Çdo fazë shtesë shton një komponent që mund të dështojë dhe një rrugë që duhet të folezohet saktë brenda tunelit të jashtëm. Gjatë një dështimi të pjesshëm rruga e jashtme qëndron lart ndërsa ajo e brendshme është e paarritshme, kështu që përdoruesi sheh një ikonë VPN të shëndetshme pranë një shërbimi që nuk përgjigjet kurrë.
Kontrolloni rrugët dhe rregullat e bllokimit në rast dështimi, jo vetëm në rastin normal. Një rrugë e parazgjedhur e shtyrë nga tuneli i jashtëm mund të kapë adresën e vetë portës së brendshme, gjë që e kthen fazën e dytë në një lidhje që vendoset dhe pastaj bie. Regjistroni çfarë duhet të mbetet e bllokuar ndërsa tuneli i brendshëm mungon, sepse një kthim aksidental rreth tij është më keq se një ndërprerje e pastër. Përdorni të njëjtën formë sondë në të dy kërcimet, që secili të matet dhe jo të supozohet. Dy tregues të lidhur nuk vendosin as folezim as izolim.
Çfarë nuk mund t'ju blejë porta e dytë
Pyetni nëse dy portat ndajnë një kredencial, një autoritet certifikimi ose një plan menaxhimi. Kur ndajnë, ndajnë edhe mënyrat e tyre më të rëndësishme të dështimit, dhe faza e dytë kushton më shumë sesa pavarësia që duket se shton. Sesionet e ndara kriptografike nuk krijojnë kontrolle administrative të ndara.
Mbajeni portën e brendshme për sa kohë ajo zbaton një kërkesë që mund ta deklaroni dhe testoni, si një rol që domeni i jashtëm nuk e kontrollon kurrë. Hiqeni kur puna e saj e vetme është të riautentikojë të njëjtin identitet ndaj të njëjtave destinacione. Në çdo rast, regjistroni kërkesën, pronarin dhe sjelljen në dështim bashkë, që rishikimi i ardhshëm të debatojë për kërkesën dhe jo për diagramin.