Ketma-ket ikki VPN darvoza: har biri aslida nimani hal qiladi
Ketma-ket ikki VPN bosqichi ikki alohida ruxsat qarorini anglatishi kerak. Har bir darvoza nimani tekshirishini ayting, so'ng ichki darvoza nimani rad etishini sinab ko'ring.
Ikki VPNni zanjir qilib ulash odatda qo'shimcha shifrlash sifatida sotiladi, bu esa uning eng qiziqarsiz ishi. Haqiqiy mahsulot — boshqa egasi boshqa resurslar to'plami bo'yicha qabul qiladigan ikkinchi avtorizatsiya qarori. Agar ikkala bosqich ham bir xil hisob ma'lumotlarini qabul qilib, bir xil manzillarga yetsa, ichki darvoza qo'shimcha kechikish bilan bezakdir. Bu ikkinchi qaror o'z operatsion xarajatiga arziydimi — buni hal qilish har bir darvoza aslida nimani tasdiqlashini nomlashdan boshlanadi.
Bitta tunnel, so'ng ikkinchi qaror
Tashqi darvoza keng savolga javob beradi: bu tasdiqlangan xodim qurilmasimi va umumiy ichki tarmoqqa chiqa oladimi. Ichki darvoza torroq savolga: bu shaxs xizmat ko'rsatish huquqiga egami va aynan shu boshqaruv so'nggi nuqtalariga chiqa oladimi. Bular turli egalari bo'lgan turli savollar va biri ikkinchisini anglatmaydi. Ikki bosqich orqali yo'l borligi ikkinchisining orqasidagini ishlatish vakolati emas. Uzoq kirishga yetish marshrut ishlashini isbotlaydi, undan ortig'ini emas.
Tamoyil eski va hanuz e'tiborsiz: tarmoq joylashuvi o'z-o'zidan hech narsani isbotlamaydi. NIST ning nol ishonch arxitekturasi xulosasi buni aniq aytadi va ulanish qayerdan kelgani yoki tarmoq kimga tegishli ekanidan kelib chiqadigan yashirin ishonchni rad etadi. Bu yerda qo'llanganda, ichki kirishga yetish uning resurslari uchun old shart, ularni ishlatish ruxsati hech qachon emas.
Har bir darvoza nimani tasdiqlashini yozing
Har bir bosqich uchun tekshiradigan shaxsni, ruxsat beradigan manzillarni va uni o'tkazib yuborish mumkin bo'lgan shartlarni qayd eting. Tashqi darvoza qonuniy ravishda oddiy ichki xizmatlarga va ichki darvoza tinglovchisiga ruxsat berishi mumkin, boshqa hech narsaga emas. Ichki darvoza rol da'vosini talab qilishi va faqat o'zgarish yozuvida nomlangan boshqaruv manzillariga ruxsat berishi mumkin. Uzoq tomondagi dastur bu rol qanday amallarni bajarishi mumkinligi bo'yicha oxirgi so'zni saqlaydi, shuning uchun zanjir dastur avtorizatsiyasini almashtirmasdan darvoza qo'shadi.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
Ikki tushirib qoldirish dizaynni jimgina buzadi. Agar tashqi domen allaqachon har bir nozik manzilga to'g'ridan-to'g'ri yetsa, ichki darvoza majburiy emas, ixtiyoriy. Agar ommaviy tinglovchi yoki ikkinchi xususiy marshrut xuddi shu kirishni taklif qilsa, mo'ljallangan yo'l bir nechta variantdan biri. Har bir qoidalar to'plamiga egasini tayinlang va ularning shartnomasi manzil xizmatlarini, ruxsat etilgan manba shaxslarini, xususiy DNSni, manzil tarjimasini va topshirish muvaffaqiyatsiz bo'lganda kim javob berishini nomlasin. Tashqi tarmoqda ishonchli manzil ichki domen avtorizatsiyasini hech qachon almashtirmasligi kerak.
Rad etish holatlarini sinang, baxtli yo'lni emas
Ikki darvoza orqali muvaffaqiyatli ulanish juda oz narsani isbotlaydi, chunki bu joriy etish paytida hamma sinab ko'rgan holat. Qiziqarli holatlar bir bosqich o'tib, ikkinchisi rad etganda. Ulardan uchtasi xavfning katta qismini qoplaydi va har birining munozara emas, tekshirish mumkin bo'lgan kutilgan natijasi bor.
Umumiy kirish tasdiqlangan va nozik rol yo'q bo'lganda, nozik manzil rad etilayotganda oddiy ish davom etishi kerak. Ikkala bosqichni tasdiqlang va yetib borish mumkin bo'lgan to'plam o'zgarish yozuvida nomlangan xizmat ko'rsatish so'nggi nuqtalari bo'lishi kerak, undan kengroq emas. Agar huquq sessiya o'rtasida bekor qilinsa, kelishilgan sessiya siyosati aloqasiz umumiy kirishni buzmasdan kuchga kirishi kerak. Bu bekor qilish mavjud sessiyani darhol tugatadimi yoki keyingi qayta autentifikatsiyada — bu shartnomada allaqachon bo'lishi kerak bo'lgan siyosat qarori. Qabul holatlarini yozgan odam voqea paytida ularni talqin qilishi kerak bo'lgan odam emas.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Qo'shilgan bog'liqliklarni sanang
Har bir qo'shimcha bosqich buzilishi mumkin bo'lgan komponentni va tashqi tunnel ichida to'g'ri joylashishi kerak bo'lgan marshrutni qo'shadi. Qisman nosozlik paytida tashqi yo'l tik turadi, ichkisi esa yetib bo'lmaydigan bo'ladi, shuning uchun foydalanuvchi hech qachon javob bermaydigan xizmat yonida sog'lom VPN belgisini ko'radi.
Marshrutlar va bloklash qoidalarini faqat oddiy holatda emas, nosozlik paytida ham tekshiring. Tashqi tunnel itarib yuborgan standart marshrut ichki darvozaning o'z manzilini ushlab qolishi mumkin, bu ikkinchi bosqichni o'rnatiladigan va keyin tushadigan ulanishga aylantiradi. Ichki tunnel yo'qligida nima bloklangan qolishi kerakligini qayd eting, chunki uning atrofida tasodifiy orqaga qaytish toza uzilishdan yomonroq. Ikkala sakrashda bir xil tekshiruv shaklini ishlating, har biri taxmin qilinmasdan o'lchansin. Ikkita ulangan holat ko'rsatkichi na joylashishni, na izolyatsiyani tasdiqlaydi.
Ikkinchi darvoza siz uchun nima sotib ololmaydi
Ikki darvoza hisob ma'lumotlarini, sertifikat organini yoki boshqaruv tekisligini bo'lishadimi, so'rang. Bo'lishgan joyda ular eng muhim nosozlik rejimlarini ham bo'lishadi va ikkinchi bosqich ko'rinadigan mustaqillikdan qimmatroq tushadi. Alohida kriptografik sessiyalar alohida ma'muriy nazorat yaratmaydi.
Ichki darvozani siz aytib, sinab ko'rishingiz mumkin bo'lgan talabni, masalan, tashqi domen hech qachon tekshirmaydigan rolni bajarib turganda saqlang. Uning yagona ishi bir xil shaxsni bir xil manzillarga qayta autentifikatsiya qilish bo'lganda uni olib tashlang. Qanday bo'lmasin, talab, egasi va nosozlikdagi xatti-harakatni birga qayd eting, keyingi ko'rik diagramma emas, talab haqida bahslashsin.