Het jy nog 'n werf-VPN nodig as die app mTLS en SSO gebruik?
Stap deur die kanale wat jou app-aanmelding nooit dek nie, en besluit dan of private netwerktoegang oorbodig is of steeds die enigste pad na die gasheer is.
Jy meld aan oor mTLS, die paneelbord laai, en die bewering dat die werf-VPN nou oorbodig is, klink redelik omtrent solank as wat dit duur voordat jy om twee in die oggend 'n databasis moet herstel. Die toepassing se TLS-grens beskryf een kanaal. Die gasheer, die databasis, die rugsteunteiken en die wolkkonto dra elk hul eie toegangspad, hul eie identiteit en hul eie goedkeurder, en nie een daarvan word deur 'n suksesvolle aanmelding geoefen nie.
Stap uitwaarts van die aanmeldskerm af
Meld aan soos 'n gewone gebruiker en skryf elke sprong neer wat die versoek raak: blaaier, rand, toepassingsluisteraar, sessiestoor, backend-API. Elke sprong het 'n eienaar en 'n verifikasiebesluit. Herhaal nou die stap vir die persoon wat die gasheer pleister, en vir die werk wat die nagtelike rugsteun skryf. Daardie stappe wyk gewoonlik by die eerste sprong uiteen.
Die uiteenlopendheid is die vraag wat die moeite werd is om te beantwoord. 'n Werf-tonnel is slegs oorbodig wanneer elke kanaal in daardie tweede stap 'n toegangs- en magtigingsbeleid het wat op sy eie staan.
Vyf kanale wat die toepassing se aanmelding nooit dek nie
Die tabel hieronder is 'n inventarissjabloon, nie 'n ontplooiingskontrolelys nie. Vul die tweede kolom met wat jou eie omgewing vandag werklik afdwing.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Die deel van 'n identiteitsverskaffer voeg hierdie magtigings nie saam nie. 'n Gebruiker wat 'n API-versoek mag indien, mag daardeur nie 'n VM-skyf vervang of 'n databasis met die toepassing se geloofsbriewe herstel nie. NIST se argitektuuropsomming vir zero-trust hou bronverifikasie en magtiging juis om hierdie rede apart van netwerklokasie.
'n Ondersteuningsingenieur wat 'n kaartjie kan lees, mag daardeur nie 'n konsole op die gasheer daaragter oopmaak nie.
'n Pad is net werklik as die alternatief gesluit bly
Om bereikbaarheid tot private administratiewe luisteraars te beperk, is 'n wettige vervanging vir 'n werf-tonnel, mits die beperking afgedwing en nie bloot geteken word nie. Die gewone faling is 'n alternatiewe luisteraar wat niemand onthou het nie: 'n diens wat steeds aan alle koppelvlakke gebind is, 'n sekuriteitsgroepreël wat vir 'n kontrakteur oopgemaak is, 'n bestuursport wat van die internet af bereikbaar is.
Kontroleer luisteraars eerder as diagramme. Lys op die gasheer wat werklik gebind is met ss -ltnp en bevestig dat die administratiewe poorte op 'n private adres sit. Lees in die wolk-konsole die inkomende reëls vir die werklas-subnet en soek na 0.0.0.0/0 op enigiets administratief. Probeer dan die verbinding van buite die private pad, want daardie toets is die een wat die vraag beantwoord.
'n Enkele wêreld-oop reël op SSH maak elke argument van die tonnelontwerp ongedaan.
Skryf die kaart voordat jy ontwerpe vergelyk
Teken vir elke ry van die inventaris aan wie identiteite goedkeur, wie die toegangsreëls bywerk, wie geloofsbriewe verwyder wanneer iemand weggaan, en wie herstel hanteer wanneer die pad self breek. Vier name per ry is genoeg om die rye te ontbloot waar die antwoord 'n gedeelde rekening en 'n wiki-bladsy van drie jaar gelede is.
Valideer dan een toelating en een weiering per kanaal. 'n Toelating bewys dat die beoogde identiteit die bron deur die beoogde pad kan bereik. 'n Weiering bewys dat 'n soortgelyke identiteit dit nie kan nie, en dit is die toets wat mense oorslaan, wat die rede is waarom alternatiewe luisteraars oudits oorleef. Vergelyk die voorgestelde ontwerp met hierdie resultate, nie met die toepassing se TLS-konfigurasie nie, wat nooit enige van hulle geoefen het nie.
Waar 'n werf-tonnel steeds sy plek verdien
'n Tonnel of 'n smal poort is die regte antwoord wanneer 'n bron geen eie verifikasie per versoek het nie: databasis-onderhoudspoorte, rugsteunteikens, hipervisor-konsoles, buiteband-bestuur. Daardie luisteraars vertrou die netwerk, so die netwerk moet die ding wees wat die oproeper verifieer.
Dit is nie die enigste antwoord nie. 'n Poort wat magtiging per bron beëindig kan smaller as 'n subnetwye tonnel wees, en dit laat 'n beter ouditspoor as 'n gedeelde spronggasheer.
Orde van werk: voltooi die inventaris, sluit die alternatiewe, valideer een weiering per ry, en trek eers dan die tonnel terug. As 'n ry nie 'n weiering kan lewer nie, hou die private pad totdat dit kan.