Malango mawili ya VPN kwa mfululizo: kila moja huamua nini kwa kweli
Hatua mbili za VPN kwa mfululizo zinapaswa kumaanisha maamuzi mawili tofauti ya ruhusa. Taja kile kila lango hukagua, kisha jaribu kile lango la ndani linakataa.
Kuunganisha VPN mbili kwa mfululizo kawaida huuzwa kama usimbaji fiche wa ziada, jambo ambalo ni la kuvutia zaidi kati ya yote linalofanya. Bidhaa halisi ni uamuzi wa pili wa idhini, unaofanywa na mmiliki tofauti dhidi ya seti tofauti ya rasilimali. Ikiwa hatua zote mbili zinakubali kitambulisho kimoja na kufikia maeneo yale yale, lango la ndani ni mapambo yenye ucheleweshaji wa ziada. Kuamua kama uamuzi huo wa pili unastahili gharama yake ya uendeshaji huanza kwa kutaja kile kila lango huthibitisha kwa kweli.
Handaki moja, kisha uamuzi wa pili
Lango la nje hujibu swali pana: je, hiki ni kifaa cha mfanyakazi kilichoidhinishwa, na je, kinaweza kufikia mtandao wa ndani wa jumla. Lango la ndani hujibu swali dogo zaidi: je, utambulisho huu unabeba haki ya matengenezo, na je, unaweza kufikia vituo hivi maalum vya mwisho vya usimamizi. Haya ni maswali tofauti yenye wamiliki tofauti, na hakuna moja linalomaanisha lingine. Kuwepo kwa njia kupitia hatua zote mbili si mamlaka ya kutumia kile kilicho nyuma ya ya pili. Kufikia lango la mbali kunathibitisha kwamba njia inafanya kazi, na hakuna zaidi.
Kanuni ni ya zamani na bado inapuuzwa: eneo la mtandao halibishani chochote lenyewe. Muhtasari wa usanifu wa uaminifu-sifuri wa NIST inasema hivyo waziwazi, na inakataa uaminifu uliofichika unaotokana na mahali muunganisho ulipotoka au nani anamiliki mtandao. Ikitumika hapa, kufikia lango la ndani ni sharti la rasilimali zake, kamwe si ruhusa ya kuzitumia.
Andika kile kila lango huthibitisha
Kwa kila hatua, rekodi utambulisho unaokagua, maeneo yanayoruhusu na masharti ambayo inaweza kurukwa. Lango la nje linaweza kwa halali kuruhusu huduma za kawaida za ndani pamoja na msikilizaji wa lango la ndani, na hakuna kingine. Lango la ndani linaweza kuhitaji dai la jukumu na kuruhusu tu anwani za usimamizi zilizotajwa katika rekodi ya mabadiliko. Programu iliyo upande wa mbali inashikilia neno la mwisho kuhusu shughuli ambazo jukumu hilo linaweza kufanya, kwa hivyo mnyororo unaongeza lango bila kuchukua nafasi ya idhini ya programu.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Uachaji mbili huvunja muundo kwa utulivu. Ikiwa kikoa cha nje tayari kinafikia kila eneo nyeti moja kwa moja, lango la ndani ni la hiari badala ya lazima. Ikiwa msikilizaji wa umma au njia ya pili ya faragha inatoa ufikiaji sawa, njia inayokusudiwa ni chaguo moja kati ya kadhaa. Teua mmiliki kwa kila seti ya kanuni pia, na acha mkataba wao utaje huduma za marudio, utambulisho wa chanzo unaoruhusiwa, DNS ya faragha, tafsiri ya anwani na nani anajibu wakati uhamishaji unashindikana. Anwani inayoaminika kwenye mtandao wa nje haipaswi kamwe kuchukua nafasi ya idhini ya kikoa cha ndani.
Jaribu kesi za kukataa, sio njia ya furaha
Muunganisho uliofanikiwa kupitia malango yote mawili unathibitisha kidogo sana, kwa sababu hiyo ndiyo kesi ambayo kila mtu aliijaribu wakati wa uanzishaji. Kesi za kuvutia ni zile ambapo hatua moja inapita na nyingine inakataa. Tatu kati yao hufunika sehemu kubwa ya hatari, na kila moja ina matokeo yanayotarajiwa ambayo yanaweza kukaguliwa badala ya kujadiliwa.
Ufikiaji wa jumla ukiwa umeidhinishwa na jukumu nyeti halipo, kazi ya kawaida lazima iendelee wakati eneo nyeti linakataliwa. Idhinisha hatua zote mbili na seti inayoweza kufikiwa inapaswa kuwa vituo vya mwisho vya matengenezo vilivyotajwa katika rekodi ya mabadiliko, hakuna pana zaidi. Ikiwa haki imeondolewa katikati ya kipindi, sera ya kipindi iliyokubaliwa lazima ianze kutumika bila kubomoa ufikiaji wa jumla usiohusiana. Ikiwa uondoaji huo unamaliza kipindi kilichopo mara moja au kwenye uthibitishaji upya unaofuata ni uamuzi wa sera ambao mkataba unapaswa kuwa nao tayari. Aliyeandika kesi za kukubalika si mtu ambaye anapaswa kuzifasiri wakati wa tukio.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Hesabu tegemezi ulizoongeza
Kila hatua ya ziada inaongeza sehemu inayoweza kushindikana na njia ambayo lazima ijipange vizuri ndani ya handaki la nje. Wakati wa kushindikana kwa sehemu njia ya nje inabaki juu wakati ya ndani haifikiki, kwa hivyo mtumiaji huona aikoni ya VPN yenye afya kando ya huduma ambayo haijibu kamwe.
Kagua njia na kanuni za kuzuia wakati wa kushindikana, sio tu katika kesi ya kawaida. Njia ya chaguo-msingi inayosukumwa na handaki la nje inaweza kunasa anwani ya lango la ndani yenyewe, ambayo hubadilisha hatua ya pili kuwa muunganisho unaojengwa na kisha kuanguka. Rekodi kile kinachopaswa kubaki kimezuiwa wakati handaki la ndani halipo, kwa sababu kurudi kwa bahati nasibu kuzunguka ni mbaya zaidi kuliko kukatika safi. Tumia umbo lile lile la uchunguzi kwenye hops zote mbili, ili kila moja ipimwe badala ya kudhaniwa. Viashiria viwili vya hali iliyounganishwa haviweki uwekaji wala utengaji.
Kile lango la pili haliwezi kukununulia
Uliza ikiwa malango mawili yanashiriki kitambulisho, mamlaka ya vyeti au ndege ya usimamizi. Wanaposhiriki, wanashiriki pia hali zao muhimu zaidi za kushindikana, na hatua ya pili inagharimu zaidi kuliko uhuru inaoonekana kuongeza. Vikao tofauti vya kriptografia haviundi vidhibiti tofauti vya utawala.
Shikilia lango la ndani wakati linatekeleza sharti unaloweza kulitaja na kulijaribu, kama jukumu ambalo kikoa cha nje hakikagui kamwe. Liondoe wakati kazi yake pekee ni kuthibitisha upya utambulisho huo huo dhidi ya maeneo yale yale. Kwa vyovyote, rekodi sharti, mmiliki na tabia ya kushindikana pamoja, ili mapitio yajayo yajadili sharti badala ya mchoro.