Ikki faktorli autentifikatsiya bilan virtual VPN shlyuzi uchun qabul tekshiruvlari
Shlyuzni bosqichma-bosqich isbotlang: ro‘yxatdan o‘tish, kirish, rad etish, bekor qilish va tiklash, har biri hujjat va sinovdan oldin yozilgan o‘tish sharti bilan.
Yetkazib beruvchilar bu qurilmani virtual va ikki faktorga qodir deb ta’riflaydi, va bu ikki so‘zning hech biri xaridni hal qiluvchi savollarga javob bermaydi. Qaysi gipervizor obrazi qo‘llab-quvvatlanadi, qaysi mijozlar ro‘yxatdan o‘ta oladi, ikkinchi faktor aslida nimani isbotlaydi va identifikatsiya provayderi ishlamay qolganda nima bo‘ladi — bular hali ochiq. Ularni mashqda bajarish mumkin bo‘lgan qabul bosqichlariga aylantiring, shunda qaror ma’lumotlar varag‘i qanchalik ishonarli ekaniga bog‘liq bo‘lishdan to‘xtaydi. Quyidagi varaq — o‘sha dalillarga mo‘ljallangan tuzilma, mahsulotlar reytingi emas.
Yetkazib beruvchi bu joylashtirish haqida nimani tasdiqlashi kerak
Joylashtirishni bitta sahifaga sig‘dirishdan boshlang: gipervizor yoki bulut, mehmon arxitekturasi, qo‘llab-quvvatlanadigan obraz va qurilma kutayotgan interfeyslar. Foydalanuvchilarni ularning operatsion tizimlari bilan qo‘shing, qurilmalar boshqariladimi va ro‘yxatdan o‘tish hamda kirish qanday ishlashi kerak. So‘ngra xususiy kirish: ilovalar va prefikslar, DNS tartibi, qaytish yo‘llari va umumiy internet chiqishi taklifning qismimi.
Operatsiya ham o‘sha sahifaga tegishli: uskunaga kim xizmat qiladi, yangilanishlar qayerdan keladi, jurnallar qayerga ketadi, konfiguratsiya qanday himoyalanadi va biznes aslida qaysi tiklanish maqsadiga kelishdi. Yetkazib beruvchidan aynan shu birikmani tasdiqlashni so‘rang, dastur virtual mashinada ishlashini emas. Tashqi bog‘liqliklarni, masalan identifikatsiya provayderi yoki litsenziya xizmatini, ko‘rinadigan holda saqlang, chunki ular u bilan birga yetkazilsa ham, yetkazilmasa ham joylashtirishning qismidir. Nomi ko‘rsatilmagan bog‘liqligi bor joylashtirish sahifasi odatda noma’lum bog‘liqligi bor sahifadir.
Ikkinchi faktor haqiqatan ikkinchi faktor ekanini isbotlang
Autentifikator va tekshirish oqimini nomlang, va har bir qadam qaysi identifikatsiyani o‘rnatishini ayting. Ketma-ket ikki parol so‘rovi ikkinchi faktor emas, va parol bilan bir martalik kod xizmatga bog‘langan kriptografik autentifikatordan boshqa da’vodir. Sotib olayotgan oqimni yozing, qutidagi yorliqni emas.
Fishingga qarshilik alohida xususiyat, va NIST ning autentifikatorlar bo‘yicha yo‘riqnomasi uni aynan shunday ko‘radi: foydalanuvchini aldab uzatishga majbur qilish mumkin bo‘lgan kod ko‘p faktorli autentifikatsiyani hali qondiradi, lekin o‘sha qo‘shimcha shartda muvaffaqiyatsiz bo‘ladi. Agar bu siz uchun muhim bo‘lsa, xususiyatni ochiq talab qiling. So‘ngra foydalanuvchilaringiz aslida ishlatadigan mijoz turidan namoyish talab qiling, u ro‘yxatdan o‘tishni, rad etilgan yoki muddati o‘tgan chaqiruvni, yo‘qolgan autentifikatordan keyingi tiklanishni va boshqalar ulangan holda bitta foydalanuvchini bekor qilishni qamrab oladi. Shlyuzning identifikatsiyasini tekshirishni doirada saqlang, chunki har qanday shlyuzga ishonadigan mijoz muammoni hal qilmadi, ko‘chirdi.
Biror narsani buzishdan oldin o‘tish shartini yozing
Quyidagi jadval — varaqning yetkazib beruvchi bilan to‘qnashuvga bardosh beradigan qismi, chunki har bir satr kafolat o‘rniga hujjat talab qiladi. O‘tish shartini mashqdan oldin to‘ldiring, va dalilsiz satrni muvaffaqiyatsiz satr deb hisoblang. Besh bosqich shlyuz nima qilishi kerakligini qamrab oladi.
| Acceptance stage | Evidence to keep | Pass condition |
|---|---|---|
| Enrolment | Enrolment record with the device type and the identity used | A new device enrols once, and nobody else can enrol it afterwards |
| Sign-in with the second factor | Session record naming both factors and the gateway identity that was checked | The session carries the expected identity and the gateway certificate validated |
| Denial of an unapproved destination | Log line from the control that refused the flow, with the policy name | The flow is refused and the refusal is attributable to one control |
| Revocation of one user | Revocation timestamp and the sessions that survived it | The named user is out and unaffected users keep working |
| Restore from configuration backup | Restored version plus a probe of a revoked identity | The revision matches the backup and revoked identities stay revoked |
Ro‘yxatdan o‘tish birinchi turadi, chunki undan keyingi hamma narsa unga bog‘liq: ro‘yxatdan o‘ta olmaydigan qurilmani sinash mumkin emas. Kirish ro‘yxatdan o‘tishdan alohida bosqich, rad etish esa ko‘p varaqlar unutadigan bosqich, chunki hammani kiritadigan shlyuz birovga rad etishini isbotlamagan. Bekor qilish va tiklash operatsion xavfning katta qismini ko‘taradi, va ikkalasini nusxada arzon mashq qilish mumkin.
Tirik shlyuzda emas, nusxada mashq qiling
Buzuvchi bosqichlarni platforma nusxasida, qo‘llab-quvvatlanadigan joylashtirish tartibiga rioya qilib o‘tkazing, va har bir dalilni sanasi va konfiguratsiya versiyasi bilan saqlang. Qayta yuklash satriga konsoldan qayta yuklash javob emas, tiklanish satriga konfiguratsiyani eksport qilish javob emas. Qaysi holat o‘z-o‘zidan qaytishini va nimani qayta ulash kerakligini yozib qo‘ying, chunki aynan shu farqni operatsion jamoa meros oladi. Mashq — uzilishni tushuntirmasdan tiklanish vaqtini o‘lchashning ham yagona imkoniyati.
Har bir sinov lahzasida identifikatsiya provayderining holatini qayd eting, chunki sog‘lom provayderga qarshi sinangan uzilish satri varaq da’vo qilganning aksini isbotlaydi. Bir mashqda ikki taqrizchi turli narsalarni ushlaydi, ikkinchisi odatda dalili boshqaruv paneli ekran surati bo‘lgan satrni topadi. O‘sha dalilni tegishli satrga biriktirib saqlang, loyiha nomidagi papkada emas.
Jamoangiz bajaradigan yuklamani o‘lchang
Oddiy haftaga o‘xshash yuklama haqida kelishing, so‘ng uni joylashtirmoqchi bo‘lgan joyingizda o‘lchang: bir vaqtdalik, trafik aralashmasi va jamoada aslida bor texnik xizmat oynasi. E’lon qilingan o‘tkazuvchanlik raqami laboratoriya shartini tasvirlaydi va foydalanuvchilaringiz haqida hech narsa demaydi. Tiklanishni rejaga emas, tiklanish maqsadiga qarab o‘lchang.
Varaq har bir bosqichning hujjati va har bir hujjatning sanasi bo‘lganda tugallanadi. Kimdir xizmat qiladigan qurilma, har bir satr uchun dalil bilan, belgilangan qutilar ro‘yxatining eng uzunidan boshqa xariddir.