سلسلہ وار دو VPN دروازے: ہر ایک واقعی کیا فیصلہ کرتا ہے
سلسلہ وار دو VPN مرحلے دو الگ اجازت فیصلوں کے معنی ہونے چاہئیں۔ بتائیں ہر دروازہ کیا جانچتا ہے، پھر پرکھیں اندرونی دروازہ کیا مسترد کرتا ہے۔
دو VPN کو زنجیر کی طرح جوڑنا عام طور پر اضافی انکرپشن کے طور پر بیچا جاتا ہے، جو یہ کرتا ہے سب سے کم دلچسپ کام ہے۔ اصل مصنوع دوسرا اجازت نامہ فیصلہ ہے، جو ایک مختلف مالک مختلف وسائل کے مجموعے پر کرتا ہے۔ اگر دونوں مرحلے ایک ہی اسناد قبول کریں اور ایک ہی منزلوں تک پہنچیں تو اندرونی دروازہ اضافی تاخیر کے ساتھ محض سجاوٹ ہے۔ یہ فیصلہ کہ وہ دوسرا فیصلہ اپنی آپریشنل لاگت کے قابل ہے یا نہیں، اس بات سے شروع ہوتا ہے کہ ہر دروازہ واقعی کیا تصدیق کرتا ہے۔
ایک سرنگ، پھر دوسرا فیصلہ
بیرونی دروازہ ایک وسیع سوال کا جواب دیتا ہے: کیا یہ منظور شدہ ملازم کا آلہ ہے، اور کیا یہ عام اندرونی نیٹ ورک تک پہنچ سکتا ہے۔ اندرونی دروازہ زیادہ تنگ سوال کا: کیا یہ شناخت دیکھ بھال کا حق رکھتی ہے، اور کیا یہ ان مخصوص انتظامی اختتامی مقامات تک پہنچ سکتی ہے۔ یہ مختلف مالکان کے مختلف سوالات ہیں، اور کوئی ایک دوسرے کو لازم نہیں کرتا۔ دونوں مرحلوں سے گزرنے والا راستہ ہونا دوسرے کے پیچھے موجود چیز کے استعمال کا اختیار نہیں ہے۔ دور کے داخلے تک پہنچنا ثابت کرتا ہے کہ راستہ کام کرتا ہے، اور اس سے زیادہ کچھ نہیں۔
اصول پرانا ہے اور اب بھی نظرانداز کیا جاتا ہے: نیٹ ورک کا مقام بذات خود کچھ ثابت نہیں کرتا۔ NIST کے صفر اعتماد فن تعمیر کا خلاصہ اسے واضح طور پر کہتا ہے، اور اس پوشیدہ اعتماد کو مسترد کرتا ہے جو اس سے پیدا ہوتا ہے کہ رابطہ کہاں سے آیا یا نیٹ ورک کس کی ملکیت ہے۔ یہاں لاگو کرنے پر، اندرونی داخلے تک پہنچنا اس کے وسائل کے لیے پیش شرط ہے، کبھی ان کے استعمال کی اجازت نہیں۔
لکھیں کہ ہر دروازہ کیا تصدیق کرتا ہے
ہر مرحلے کے لیے، وہ شناخت جو یہ جانچتا ہے، وہ منزلیں جن کی اجازت دیتا ہے، اور وہ شرائط جن کے تحت اسے چھوڑا جا سکتا ہے، درج کریں۔ بیرونی دروازہ قانونی طور پر عام اندرونی خدمات اور اندرونی دروازے کے سامعین کو اجازت دے سکتا ہے، اور کچھ نہیں۔ اندرونی دروازہ کردار کا دعویٰ مانگ سکتا ہے اور صرف تبدیلی کے ریکارڈ میں نامزد انتظامی پتوں کی اجازت دے سکتا ہے۔ دور کے سرے پر موجود اطلاق اس بارے میں آخری بات رکھتا ہے کہ وہ کردار کون سی کارروائیاں کر سکتا ہے، اس لیے زنجیر اطلاق کی اجازت کو بدلے بغیر ایک دروازہ شامل کرتی ہے۔
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
دو کوتاہیاں ڈیزائن کو خاموشی سے توڑ دیتی ہیں۔ اگر بیرونی ڈومین پہلے ہی ہر حساس منزل تک براہ راست پہنچتا ہے، تو اندرونی دروازہ لازمی نہیں بلکہ اختیاری ہے۔ اگر کوئی عوامی سامع یا دوسرا نجی راستہ وہی رسائی فراہم کرتا ہے، تو مطلوبہ راستہ کئی اختیارات میں سے ایک ہے۔ ہر قاعدہ مجموعے کو مالک بھی مقرر کریں، اور ان کا معاہدہ منزل کی خدمات، اجازت یافتہ ماخذ شناختیں، نجی DNS، پتوں کا ترجمہ اور یہ نامزد کرے کہ حوالگی ناکام ہونے پر کون جواب دیتا ہے۔ بیرونی نیٹ ورک پر قابل اعتماد پتہ کبھی اندرونی ڈومین کی اجازت کی جگہ نہیں لے سکتا۔
مستردگی کے واقعات پرکھیں، خوشگوار راستہ نہیں
دونوں دروازوں سے کامیاب رابطہ بہت کم ثابت کرتا ہے، کیونکہ یہی وہ معاملہ ہے جسے سب نے تعیناتی کے دوران پرکھا۔ دلچسپ معاملات وہ ہیں جہاں ایک مرحلہ گزر جاتا ہے اور دوسرا مسترد کرتا ہے۔ ان میں سے تین زیادہ تر خطرہ ڈھانپ لیتے ہیں، اور ہر ایک کا بحث کے بجائے جانچا جا سکنے والا متوقع نتیجہ ہے۔
عام رسائی منظور اور حساس کردار غیر موجود ہونے پر، حساس منزل مسترد ہونے کے دوران عام کام جاری رہنا چاہیے۔ دونوں مرحلے منظور کریں اور قابل رسائی مجموعہ تبدیلی کے ریکارڈ میں نامزد دیکھ بھال کے اختتامی مقامات ہونا چاہیے، اس سے زیادہ وسیع نہیں۔ اگر حق سیشن کے وسط میں منسوخ ہو جائے، تو متفقہ سیشن پالیسی غیر متعلقہ عام رسائی کو توڑے بغیر نافذ ہونی چاہیے۔ کیا وہ منسوخی موجودہ سیشن کو فوراً ختم کرتی ہے یا اگلی دوبارہ تصدیق پر، یہ پالیسی فیصلہ ہے جو معاہدے میں پہلے سے ہونا چاہیے۔ قبولیت کے معاملات لکھنے والا وہ شخص نہیں ہے جسے واقعے کے دوران ان کی تشریح کرنی چاہیے۔
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"شامل کردہ انحصارات گنیں
ہر اضافی مرحلہ ایک ایسا جزو شامل کرتا ہے جو ناکام ہو سکتا ہے اور ایک راستہ جو بیرونی سرنگ کے اندر درست طریقے سے جڑنا چاہیے۔ جزوی ناکامی کے دوران بیرونی راستہ قائم رہتا ہے جبکہ اندرونی ناقابل رسائی ہوتا ہے، اس لیے صارف کبھی جواب نہ دینے والی خدمت کے پاس صحت مند VPN آئیکن دیکھتا ہے۔
راستوں اور روک تھام کے قواعد کو صرف عام حالت میں نہیں بلکہ ناکامی کے دوران بھی جانچیں۔ بیرونی سرنگ کی دھکیلی ہوئی طے شدہ راستہ اندرونی دروازے کا اپنا پتہ پکڑ سکتا ہے، جو دوسرے مرحلے کو ایسا رابطہ بنا دیتا ہے جو قائم ہو کر پھر گر جاتا ہے۔ درج کریں کہ اندرونی سرنگ نہ ہونے پر کیا روکا رہنا چاہیے، کیونکہ اس کے گرد حادثاتی پسپائی صاف رکاوٹ سے بدتر ہے۔ دونوں ہاپوں پر ایک ہی جانچ کی شکل استعمال کریں، تاکہ ہر ایک مفروضے کے بجائے ناپا جائے۔ دو منسلک حیثیت کے اشارے نہ جڑاؤ ثابت کرتے ہیں نہ تنہائی۔
دوسرا دروازہ آپ کے لیے کیا نہیں خرید سکتا
پوچھیں کہ کیا دونوں دروازے ایک اسناد، ایک سرٹیفکیٹ اتھارٹی یا ایک انتظامی سطح ساجھا کرتے ہیں۔ جہاں ساجھا کرتے ہیں، وہاں اپنے اہم ترین ناکامی کے طریقے بھی ساجھا کرتے ہیں، اور دوسرا مرحلہ اس ظاہری آزادی سے زیادہ مہنگا ہے جو یہ شامل کرتا ہے۔ الگ کرپٹوگرافک سیشن الگ انتظامی کنٹرول پیدا نہیں کرتے۔
اندرونی دروازہ اس وقت تک رکھیں جب تک یہ ایسی ضرورت نافذ کرتا ہے جسے آپ بیان اور پرکھ سکتے ہیں، مثلاً ایسا کردار جسے بیرونی ڈومین کبھی نہیں جانچتا۔ اسے ہٹا دیں جب اس کا واحد کام انہی منزلوں کے خلاف اسی شناخت کی دوبارہ تصدیق کرنا ہو۔ بہرحال، ضرورت، مالک اور ناکامی کا رویہ اکٹھے درج کریں، تاکہ اگلا جائزہ خاکے کے بجائے ضرورت پر بحث کرے۔