வரிசையாக இரண்டு VPN வாயில்கள்: ஒவ்வொன்றும் உண்மையில் எதைத் தீர்மானிக்கிறது
வரிசையாக இரண்டு VPN நிலைகள் என்பது இரண்டு தனித்தனி அனுமதி முடிவுகளைக் குறிக்க வேண்டும். ஒவ்வொரு வாயிலும் எதைச் சரிபார்க்கிறது என்பதைக் குறிப்பிடுங்கள், பின்னர் உள் வாயில் எதை மறுக்கிறது என்பதைச் சோதியுங்கள்.
இரண்டு VPN-களைச் சங்கிலியாக இணைப்பது பொதுவாகக் கூடுதல் மறையாக்கமாக விற்கப்படுகிறது, ஆனால் அது செய்யும் மிகக் குறைவான சுவாரஸ்யமான விஷயம் அதுவே. உண்மையான தயாரிப்பு இரண்டாவது அனுமதி முடிவு, வேறு உரிமையாளர் வேறு வளத் தொகுப்பின் மீது எடுப்பது. இரண்டு நிலைகளும் ஒரே சான்றை ஏற்று ஒரே இடங்களை அடைந்தால், உள் வாயில் கூடுதல் தாமதத்துடன் கூடிய அலங்காரம் மட்டுமே. அந்த இரண்டாவது முடிவு அதன் இயக்கச் செலவுக்கு மதிப்புள்ளதா என்பதைத் தீர்மானிப்பது ஒவ்வொரு வாயிலும் உண்மையில் எதைச் சரிபார்க்கிறது என்பதைக் குறிப்பிடுவதில் தொடங்குகிறது.
ஒரு சுரங்கப்பாதை, பின்னர் இரண்டாவது முடிவு
வெளி வாயில் ஒரு பரந்த கேள்விக்குப் பதிலளிக்கிறது: இது அங்கீகரிக்கப்பட்ட பணியாளர் சாதனமா, பொதுவான உள் வலையை அடைய முடியுமா. உள் வாயில் மிகவும் குறுகிய ஒன்றுக்கு: இந்த அடையாளம் பராமரிப்பு உரிமையைக் கொண்டுள்ளதா, இந்த குறிப்பிட்ட நிர்வாக முடிவுப் புள்ளிகளை அடைய முடியுமா. இவை வெவ்வேறு உரிமையாளர்களைக் கொண்ட வெவ்வேறு கேள்விகள், ஒன்று மற்றொன்றைக் குறிக்காது. இரண்டு நிலைகள் வழியாக ஒரு பாதை இருப்பது இரண்டாவதற்குப் பின்னால் இருப்பதைப் பயன்படுத்தும் அதிகாரம் அல்ல. தொலைவு நுழைவை அடைவது ஒரு பாதை வேலை செய்கிறது என்பதை நிரூபிக்கிறது, அதற்கு மேல் இல்லை.
கோட்பாடு பழையது, இன்னும் புறக்கணிக்கப்படுகிறது: வலையமைப்பு இருப்பிடம் தானாக எதையும் நிரூபிக்காது. NIST இன் பூஜ்ய-நம்பிக்கை கட்டமைப்புச் சுருக்கம் அதைத் தெளிவாகக் கூறுகிறது, மேலும் இணைப்பு எங்கிருந்து வந்தது அல்லது வலையமைப்பு யாருக்குச் சொந்தம் என்பதிலிருந்து எழும் மறைமுக நம்பிக்கையை மறுக்கிறது. இங்கே பயன்படுத்தப்படும்போது, உள் நுழைவை அடைவது அதன் வளங்களுக்கான முன்நிபந்தனை, அவற்றைப் பயன்படுத்துவதற்கான அனுமதி ஒருபோதும் இல்லை.
ஒவ்வொரு வாயிலும் எதைச் சரிபார்க்கிறது என்பதை எழுதுங்கள்
ஒவ்வொரு நிலைக்கும், அது சரிபார்க்கும் அடையாளம், அது அனுமதிக்கும் இடங்கள் மற்றும் தவிர்க்கக்கூடிய நிபந்தனைகளைப் பதிவு செய்யுங்கள். வெளி வாயில் சட்டப்பூர்வமாக சாதாரண உள் சேவைகளையும் உள் வாயிலின் கேட்பவரையும் அனுமதிக்கலாம், வேறு எதையும் அல்ல. உள் வாயில் பங்கு உரிமைகோரலைக் கோரலாம், மாற்றப் பதிவில் பெயரிடப்பட்ட நிர்வாக முகவரிகளை மட்டுமே அனுமதிக்கலாம். தொலைவு முனையில் உள்ள பயன்பாடு அந்தப் பங்கு எந்தச் செயல்பாடுகளைச் செய்யலாம் என்பதில் இறுதிச் சொல்லை வைத்திருக்கிறது, எனவே சங்கிலி பயன்பாட்டு அனுமதியை மாற்றாமல் ஒரு வாயிலைச் சேர்க்கிறது.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
இரண்டு விடுபடல்கள் வடிவமைப்பை அமைதியாக உடைக்கின்றன. வெளிக் களம் ஏற்கனவே ஒவ்வொரு உணர்திறன் இடத்தையும் நேரடியாக அடைந்தால், உள் வாயில் கட்டாயமல்ல, விருப்பமானது. பொது கேட்பவர் அல்லது இரண்டாவது தனியார் பாதை அதே அணுகலை வழங்கினால், நோக்கிய பாதை பல விருப்பங்களில் ஒன்று. ஒவ்வொரு விதித் தொகுப்பிற்கும் உரிமையாளரை நியமியுங்கள், அவர்களின் ஒப்பந்தம் இலக்குச் சேவைகள், அனுமதிக்கப்பட்ட மூல அடையாளங்கள், தனியார் DNS, முகவரி மொழிபெயர்ப்பு மற்றும் ஒப்படைப்பு தோல்வியடையும்போது யார் பதிலளிக்கிறார் என்பதைக் குறிப்பிடட்டும். வெளி வலையமைப்பில் நம்பகமான முகவரி ஒருபோதும் உள் களத்தின் அனுமதியை மாற்றக்கூடாது.
மறுப்பு நிகழ்வுகளைச் சோதியுங்கள், மகிழ்ச்சியான பாதையை அல்ல
இரண்டு வாயில்கள் வழியாக வெற்றிகரமான இணைப்பு மிகக் குறைவாகவே நிரூபிக்கிறது, ஏனெனில் அதுவே அனைவரும் பரவலின்போது சோதித்த நிகழ்வு. சுவாரஸ்யமான நிகழ்வுகள் ஒரு நிலை கடந்து மற்றொன்று மறுக்கும்போது. அவற்றில் மூன்று பெரும்பாலான ஆபத்தை உள்ளடக்குகின்றன, ஒவ்வொன்றும் விவாதத்திற்குப் பதிலாகச் சரிபார்க்கக்கூடிய எதிர்பார்க்கப்பட்ட முடிவைக் கொண்டுள்ளன.
பொது அணுகல் அங்கீகரிக்கப்பட்டு உணர்திறன் பங்கு இல்லாதபோது, உணர்திறன் இடம் மறுக்கப்படும்போது சாதாரண வேலை தொடர வேண்டும். இரண்டு நிலைகளையும் அங்கீகரியுங்கள், அடையக்கூடிய தொகுப்பு மாற்றப் பதிவில் பெயரிடப்பட்ட பராமரிப்பு முடிவுப் புள்ளிகளாக இருக்க வேண்டும், அதைவிட விரிவாக இல்லை. அமர்வின் நடுவில் உரிமை ரத்து செய்யப்பட்டால், ஒப்புக்கொள்ளப்பட்ட அமர்வுக் கொள்கை தொடர்பில்லாத பொது அணுகலை உடைக்காமல் நடைமுறைக்கு வர வேண்டும். அந்த ரத்து இருக்கும் அமர்வை உடனடியாக முடிக்கிறதா அல்லது அடுத்த மறுஅங்கீகாரத்தில் முடிக்கிறதா என்பது ஒப்பந்தத்தில் ஏற்கனவே இருக்க வேண்டிய கொள்கை முடிவு. ஏற்பு நிகழ்வுகளை எழுதியவர் சம்பவத்தின்போது அவற்றை விளக்க வேண்டியவர் அல்ல.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"நீங்கள் சேர்த்த சார்புகளை எண்ணுங்கள்
ஒவ்வொரு கூடுதல் நிலையும் தோல்வியடையக்கூடிய ஒரு பகுதியையும் வெளி சுரங்கப்பாதைக்குள் சரியாகக் கூடு வைக்கப்பட வேண்டிய பாதையையும் சேர்க்கிறது. பகுதி தோல்வியின்போது வெளிப் பாதை மேலே இருக்கும் அதே நேரம் உட்பாதை அணுக முடியாததாக இருக்கும், எனவே பயனர் ஒருபோதும் பதிலளிக்காத சேவையின் அருகில் ஆரோக்கியமான VPN ஐகானைக் காண்கிறார்.
சாதாரண நிலையில் மட்டுமல்ல, தோல்வியின்போதும் பாதைகளையும் தடுப்பு விதிகளையும் சரிபார்க்கவும். வெளி சுரங்கப்பாதையால் தள்ளப்படும் இயல்புநிலைப் பாதை உள் வாயிலின் சொந்த முகவரியையே பிடிக்கலாம், இது இரண்டாம் நிலையை நிறுவப்பட்டுப் பின்னர் விழும் இணைப்பாக மாற்றுகிறது. உள் சுரங்கப்பாதை இல்லாதபோது எது தடுக்கப்பட்டதாக இருக்க வேண்டும் என்பதைப் பதிவு செய்யுங்கள், ஏனெனில் அதைச் சுற்றியுள்ள தற்செயலான பின்வாங்கல் தூய இடைநிறுத்தத்தை விட மோசமானது. இரண்டு தாவல்களிலும் ஒரே ஆய்வு வடிவத்தைப் பயன்படுத்துங்கள், ஒவ்வொன்றும் அனுமானிக்கப்படுவதற்குப் பதிலாக அளவிடப்படும். இரண்டு இணைக்கப்பட்ட நிலைக் குறிகாட்டிகள் கூடு வைப்பையோ தனிமைப்படுத்தலையோ நிறுவுவதில்லை.
இரண்டாவது வாயில் உங்களுக்காக வாங்க முடியாதது
இரண்டு வாயில்களும் ஒரு சான்று, ஒரு சான்றிதழ் அதிகாரம் அல்லது ஒரு நிர்வாகத் தளத்தைப் பகிர்கின்றனவா என்று கேளுங்கள். அவை பகிருமிடத்தில், அவற்றின் மிக முக்கியமான தோல்வி முறைகளையும் பகிர்கின்றன, இரண்டாம் நிலை அது சேர்ப்பதாகத் தோன்றும் சுதந்திரத்தை விட அதிக செலவாகும். தனித்த மறையாக்க அமர்வுகள் தனித்த நிர்வாகக் கட்டுப்பாடுகளை உருவாக்குவதில்லை.
நீங்கள் கூறிச் சோதிக்கக்கூடிய தேவையை உள் வாயில் நடைமுறைப்படுத்தும் வரை அதை வைத்திருங்கள், எடுத்துக்காட்டாக வெளிக் களம் ஒருபோதும் சரிபார்க்காத ஒரு பங்கு. அதன் ஒரே வேலை அதே அடையாளத்தை அதே இடங்களுக்கு எதிராக மறுஅங்கீகரிப்பதாக இருக்கும்போது அதை அகற்றுங்கள். எப்படியிருந்தாலும், தேவை, உரிமையாளர் மற்றும் தோல்வி நடத்தையை ஒன்றாகப் பதிவு செய்யுங்கள், அடுத்த மதிப்பாய்வு வரைபடத்தைப் பற்றி அல்ல, தேவையைப் பற்றி விவாதிக்கட்டும்.