Multi-huurder VPN: gedeelde gateway, per huurder of per gasheer
'n Tonnel is nie huurder-isolasie nie. Vergelyk 'n gedeelde gateway, gateways per huurder en verbindings per gasheer op identiteitskartering, routering en onttrekking.
Bepaal wie 'n kliënt toelaat en wat daardie kliënt verhinder om die hulpbronne van 'n ander huurder te bereik. Dit is twee besluite, en die keuse van IPsec, WireGuard of 'n mesh-produk beantwoord nie een van hulle nie. 'n Tonnel wat perfek opkom, kan steeds elke huurder in staat stel om elke ander een te bereik, en 'n hersiening wat die twee as dieselfde ding behandel, keur die verkeerde ontwerp goed. Skryf eers die kliënt-tot-hulpbron-kaart: administrateurs, ondersteuningstoegang, gedeelde dienste en die paaie wat geweier moet bly.
Begin by die kaart, nie by die produk nie
Daardie kaart is die eerste artefak, en elke keuse hieronder is net 'n besluit oor waar die grens wat dit afdwing, woon. Hou dit hersienbaar: een ry per kliënt, een ry per gedeelde diens, en die geweierde paaie uitgeskryf.
'n Kaart wat niemand kan lees nie, is 'n kaart wat niemand sal afdwing.
Een toegangspunt en sy karteringsprobleem
Elke plasing word deur 'n enkele operasionele vraag beslis, en die tabel is die hele vergelyking.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
'n Gedeelde gateway sentraliseer toegang en konsentreer die risiko op een plek: die verband tussen 'n huurder se identiteit en sy beleid. Groepe of tonneladresse moet na die regte hulpbronregte herlei, en 'n ander etiket per kliënt verhoed op sigself niks. Aparte routeringskontekste kan oorvleuelende prefikse hou wanneer die platform dit ondersteun en die ontwerp volledig is. 'n Gewone gedeelde routeringstabel kan nie twee identiese bestemmingsprefikse onderskei net omdat die mense agter hulle verskillende rekeninge het nie.
Dit is die toets vir die meeste ontwerpe. Twee huurders wat albei intern met 10.0.0.0/8 nommer, het geskeide routeringstoestand nodig, nie 'n naamgewingkonvensie nie.
'n Gateway per huurder koop grense en stelsels
Een gateway per kliënt maak sommige administratiewe grense maklik om te verduidelik, want toegang en beleid vir daardie kliënt sit saam. Dit vermenigvuldig ook die stelsels wat geloofsbriewe, pleisters, monitering en 'n eienaar nodig het. En dit dwing nie een voorgeskrewe openbare adresreëling af nie: eindpuntdeling, vertaling en protokol-demultipleksing hang af van wat die implementering werklik ondersteun.
Tel die stelsels en die mense voordat jy die veiligheidswins tel. 'n Ontwerp met vier gateways meer as wat die span kan pleister, is in die praktyk nie meer geïsoleer nie.
As die huurdergetal elke maand beweeg, het daardie model 'n outomatiseringsverhaal nodig eerder as 'n sjabloon.
Verbindings per gasheer verskuif die werk
'n Verbinding op elke gehuisvesde masjien verwyder nie die operasionele werk nie, dit verskuif dit na die masjienlewensiklus. Inskrywing, beleid per masjien, sleutelrotasie en vervanging word deel van voorsiening, en hulle faal binne dieselfde venster as die masjien self. Vir 'n handvol langlewende gashere op afsonderlike netwerke is dit dikwels reg, en vir 'n vloot wat reeds die spoor byster raak van watter beeld waar loop, selde.
Noem 'n rol vir identiteitsuitreiking, opdaterings, toegangsverwydering, monitering en herstel onder elke opsie. Vra dan wat gebeur op die dag wanneer een kliënt vertrek.
Onttrekking hoort in die vergelyking
Die meeste vergelykings slaan onttrekking oor. Om 'n huurder te verwyder moet sy geloofsbriewe ongeldig maak, sy beleid laat val, sy adresse en routeringstoestand vrylaat, en almal anders onaangeroer laat. NIST se argitektuurriglyne vir zero trust is hier die regte verwysing, want dit plaas verifikasie en magtiging op die hulpbron eerder as om 'n netwerkposisie te vertrou, en dit geld ook binne 'n kliënt se eie segment.
Weeg toegelate en geweierde vloei, hantering van oorvleuelende adresse en die onttrekkingsprosedure voordat jy protokolmaatstawwe weeg. Kies dan 'n vervoer- en verifikasiemetode wat by die grens pas wat jy gekies het. 'n Ouer produknaam, of 'n bewering dat elke onderneming op een protokol moet standaardiseer, beslis niks daarvan nie. Die kaart wat jy eerste geskryf het, doen dit.