Две VPN капије заредом: шта свака заиста одлучује
Две VPN фазе заредом треба да значе две одвојене одлуке о дозволи. Наведите шта проверава свака капија, затим проверите шта одбија унутрашња.
Повезивање два VPN-а у ланац обично се продаје као додатно шифровање, што је најмање занимљива ствар коју оно ради. Прави производ је друга одлука о ауторизацији, коју доноси други власник над другим скупом ресурса. Ако обе фазе прихватају исте акредитиве и стижу до истих одредишта, унутрашња капија је украс са додатним кашњењем. Одлука да ли та друга одлука вреди својих оперативних трошкова почиње именовањем онога што свака капија заиста проверава.
Један тунел, затим друга одлука
Спољашња капија одговара на широко питање: да ли је ово одобрен уређај запосленог и сме ли да стигне до опште унутрашње мреже. Унутрашња капија одговара на уже: да ли овај идентитет носи право на одржавање и сме ли да стигне до ових конкретних управљачких крајњих тачака. То су различита питања са различитим власницима и ниједно не подразумева друго. Постојање пута кроз обе фазе није овлашћење да се користи оно што стоји иза друге. Стизање до далеког улаза доказује да рута ради, и ништа више.
Принцип је стар и још увек се игнорише: мрежна локација сама по себи ништа не доказује. Резиме NIST архитектуре нултог поверења то јасно каже, одбацујући имплицитно поверење које произилази из тога одакле је веза дошла или коме припада мрежа. Примењено овде, стизање до унутрашњег улаза је предуслов за његове ресурсе, никада дозвола да се користе.
Запишите шта проверава свака капија
За сваку фазу забележите идентитет који проверава, одредишта која дозвољава и услове под којима се може прескочити. Спољашња капија може законито да дозволи уобичајене унутрашње сервисе плус слушаоца унутрашње капије, и ништа друго. Унутрашња капија може да захтева тврдњу о улози и да дозволи само управљачке адресе наведене у запису о промени. Апликација на далеком крају задржава последњу реч о томе које операције та улога сме да изврши, па ланац додаје капију без замене ауторизације апликације.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Два пропуста тихо кваре дизајн. Ако спољашњи домен већ директно стиже до сваког осетљивог одредишта, унутрашња капија је опциона, а не обавезна. Ако јавни слушалац или други приватни пут нуди исти приступ, предвиђени пут је једна опција међу неколико. Доделите власника и сваком скупу правила и нека њихов уговор наведе услуге одредишта, дозвољене изворне идентитете, приватни DNS, превођење адреса и ко одговара када предаја не успе. Адреса којој се верује у спољашњој мрежи никада не сме да замени ауторизацију унутрашњег домена.
Тестирајте случајеве одбијања, а не срећан пут
Успешна веза кроз обе капије доказује веома мало, јер је то случај који су сви тестирали током увођења. Занимљиви су случајеви када једна фаза прође, а друга одбије. Три од њих покривају већину ризика и сваки има очекивани исход који се може проверити, а не расправљати.
Када је општи приступ одобрен, а осетљива улога одсутна, обичан рад мора да се настави док се осетљиво одредиште одбија. Одобрите обе фазе и достижни скуп треба да буду крајње тачке одржавања наведене у запису о промени, ништа шире. Ако се право опозове усред сесије, договорена политика сесије мора да ступи на снагу без кидања неповезаног општег приступа. Да ли то опозивање завршава постојећу сесију одмах или при следећој поновној аутентификацији, је одлука о политици коју уговор већ треба да садржи. Онај ко је написао критеријуме прихватања није особа која би требало да их тумачи током инцидента.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Пребројте зависности које сте додали
Свака додатна фаза додаје компоненту која може да откаже и руту која мора правилно да се угнезди у спољашњи тунел. Током делимичног отказа спољашњи пут остаје горе, док је унутрашњи недоступан, па корисник види здраву VPN икону поред услуге која никада не одговара.
Проверите руте и правила блокирања при отказу, а не само у нормалном случају. Подразумевана рута коју гура спољашњи тунел може да ухвати сопствену адресу унутрашње капије, што другу фазу претвара у везу која се успостави и затим падне. Забележите шта треба да остане блокирано док нема унутрашњег тунела, јер је случајан повратак око њега гори од чистог прекида. Користите исти облик сонде на оба скока, да се сваки мери, а не претпоставља. Два индикатора повезаности не успостављају ни угнежђивање ни изолацију.
Шта не може да вам купи друга капија
Питајте да ли две капије деле акредитив, тело за сертификацију или управљачку раван. Где деле, деле и своје најважније режиме отказа, а друга фаза кошта више од независности коју наизглед додаје. Одвојене криптографске сесије не стварају одвојене административне контроле.
Задржите унутрашњу капију док спроводи захтев који можете да изразите и тестирате, као што је улога коју спољашњи домен никада не проверава. Уклоните је када је њен једини посао поновна аутентификација истог идентитета према истим одредиштима. У сваком случају, забележите захтев, власника и понашање при отказу заједно, да следећи преглед расправља о захтеву, а не о дијаграму.