Het jy steeds 'n VPN nodig as jy 'n Identity-Aware Proxy gebruik?

Die aanname lui so: sodra 'n identiteitsbewuste proxy voor die interne toepassings staan, is die VPN bloot versiering en kan die kliënt verdwyn. Dit geld vir een eng geval, 'n interaktiewe HTTPS-toepassing wat 'n mens in 'n blaaier gebruik, en dit faal stilweg oral elders. 'n Proxy magtig 'n versoek teen 'n hulpbron; 'n VPN laat 'n kliënt tot 'n netwerkomvang toe, en die twee grense val selde saam. Voordat jy 'n tonnel aftree, vergelyk die bedrywighede wat jou mense werklik uitvoer, nie die produkname op die diagram nie.

Die twee hekke magtig verskillende dinge

'n Toepassingshek besluit of hierdie versoek, van hierdie identiteit, hierdie beskermde hulpbron mag bereik. Google se Identity-Aware Proxy-oorsig beskryf presies daardie vorm: 'n sentrale magtigingslaag voor HTTPS-toepassings, gedryf deur 'n IAM-rol. Die grens is die hulpbron, en die eenheid van toegang is die versoek. 'n Geroteerde VPN doen iets growwer en wyer: dit laat 'n kliënt tot 'n gedefinieerde netwerkomvang toe, waarna die toepassing steeds besluit wat daardie kliënt mag doen.

Geen van die twee modelle impliseer die ander nie. Om die hek te slaag sê niks oor die lees van 'n bepaalde rekord nie, en om op die netwerk te wees sê niks oor toegelaat word om op te tree nie.

Wat die proxy nie dek nie, en die VPN wel

SSH-sessies, databasis-kliënte, boodskap-bemiddelaars en interne gasheername wat geen blaaier ooit oopmaak nie, word nie bereikbaar bloot omdat 'n webproxy bestaan nie. Elkeen praat sy eie protokol, en elkeen het óf sy eie geoutentiseerde pad óf 'n netwerk nodig wat dit dra. Dit is die gaping wat mense op die eerste dag van 'n migrasie ontdek, gewoonlik by 'n oproepgereed ingenieur met 'n skootrekenaar wat nie meer 'n gasheernaam kan oplos nie.

Die omgekeerde gaping is net so werklik. 'n VPN wat 'n kliënt tot 'n subnet toelaat, outentiseer nie die persoon daarbinne nie, en 'n gekompromitteerde toestel op daardie subnet erf alles wat die netwerk toelaat. As die vereiste per-versoek magtiging met 'n ouditeerbare identiteit is, kan roetering alleen dit nie lewer nie. Die meeste organisasies eindig deur albei te bedryf, en die interessante vraag is watter hulpbronne elkeen toegelaat word om te front.

Kliëntwerkvloei besluit meer as die argitektuurdiagram

'n Blaaier-aanmelding met 'n herleiding en 'n enkele MFA-uitdaging is 'n goeie ervaring vir iemand wat op 'n boekmerk klik. 'n Cron-taak, 'n CLI of 'n bou-agent het geen blaaier nie en kan nie 'n interaktiewe opdrag beantwoord nie, so dit benodig 'n gedokumenteerde nie-interaktiewe pad of die tonnel. Die ontdekking van daardie vereiste gebeur gewoonlik nadat die ontwerp goedgekeur is.

Tel die kliënte voordat jy die toepassings tel. Een paneelbord kan honderd mense bedien; een databasispoort kan 'n hele span blokkeer.

Toestelposisie is nie 'n eienskap van enige hek nie

'n VPN-kliëntinstallasie is nie 'n nakomingstoets nie, en 'n blaaiergebaseerde ontwerp is nie outomaties onvermoënd om bestuurdetoestelbeleid na te kom nie. Albei kan met postuur-seine integreer, en albei kan daarsonder ontplooi word. Vra watter handhawing bestaan, wie die beleid besit, en wat met 'n toestel gebeur wat dit faal, eerder as om dit uit die vorm van die produk af te lei.

Dieselfde versigtigheid geld vir die verwydering van toegang. Om 'n groeplidmaatskap in die proxy te skrap en 'n sertifikaat vir die tonnel te herroep, is verskillende bedrywighede met verskillende vertraging, en een daarvan word gewoonlik tydens uittrede vergeet.

Vind die alternatiewe paaie voordat jy iets aftree

'n Onbeskermde oorsprong agter die proxy, 'n tweede gasheernaam wat dit omseil, of 'n breë private roete wat uit 'n vroeëre ontwerp oorgebly het, sal besluit watter hek effektief in werking is. Toets 'n toegelate bedrywigheid en 'n geweierde een deur die werklike kliënt, nie deur die konsole nie, en toets hulle vanaf 'n toestel wat nog nooit ingeskryf is nie. Die geweierde geval is die een wat jou vertel of die hek enigiets doen.

Skryf dan die oorhandiging: inskrywing, opdaterings, verwydering van toegang, en die herstelpad vir iemand wat om 2 uur in die oggend uitgesluit is. Om 'n opdrag of 'n kliënttoepassing te verwyder, skuif verantwoordelikheid tussen spanne; dit verwyder nie die verantwoordelikheid nie.

As jy hierdie week besluit, begin by 'n lys bedrywighede eerder as 'n lys produkte, merk watter een 'n blaaier kan uitvoer, en laat die res die netwerktoegang regverdig wat oorleef.