Çoxmüştərili VPN: ortaq şlüz, müştəri üzrə, yoxsa host üzrə
Tunel müştəri təcridi deyil. Ortaq şlüzü, hər müştəri üçün şlüzü və hər host üçün bağlantını kimlik uyğunlaşdırması, marşrutlaşdırma və xaricetmə baxımından müqayisə edin.
Müştərinin kim tərəfindən qəbul edildiyini və nəyin o müştərinin başqa bir müştərinin resurslarına çatmasının qarşısını aldığını müəyyən edin. Bunlar iki qərardır və IPsec, WireGuard ya da mesh məhsulu seçmək heç birinə cavab vermir. Mükəmməl qurulan tunel yenə də hər müştəriyə bütün digərlərinə çatmaq imkanı verə bilər və ikisini eyni şey kimi qəbul edən nəzərdən keçirmə yanlış dizaynı təsdiqləyir. Əvvəlcə müştəri-resurs xəritəsini yazın: administratorlar, dəstək çıxışı, ortaq xidmətlər və qadağan qalmalı yollar.
Məhsulla deyil, xəritə ilə başlayın
Bu xəritə ilk artefaktdır və aşağıdakı hər seçim yalnız onu tətbiq edən sərhədin harada yerləşdiyinə dair qərardır. Onu yoxlanıla bilən saxlayın: hər müştəri üçün bir sətir, hər ortaq xidmət üçün bir sətir və qadağan yollar açıq şəkildə yazılmış.
Heç kimin oxuya bilmədiyi xəritə heç kimin tətbiq etməyəcəyi xəritədir.
Bir qəbul nöqtəsi və onun uyğunlaşdırma problemi
Hər yerləşdirmə tək bir əməliyyat sualı ilə həll olunur və cədvəl bütün müqayisədir.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Ortaq şlüz qəbulu mərkəzləşdirir və riski bir yerdə cəmləyir: müştəri kimliyi ilə onun siyasəti arasındakı əlaqə. Qruplar və ya tunel ünvanları düzgün resurs icazələrinə çevrilməlidir və hər müştəri üçün fərqli etiket özlüyündə heç nəyin qarşısını almır. Ayrı marşrutlaşdırma kontekstləri, platforma dəstəklədikdə və dizayn tam olduqda üst-üstə düşən prefiksləri saxlaya bilər. Adi ortaq marşrut cədvəli iki eyni təyinat prefiksini yalnız arxasındakı insanların fərqli hesabları olduğuna görə ayıra bilməz.
Bu, əksər dizaynlar üçün sınaqdır. Hər ikisi daxildə 10.0.0.0/8 ilə nömrələyən iki müştəriyə adlandırma konvensiyası deyil, ayrılmış marşrutlaşdırma vəziyyəti lazımdır.
Hər müştəri üçün şlüz sərhədlər və sistemlər alır
Hər müştəri üçün bir şlüz bəzi inzibati sərhədləri izah etməyi asanlaşdırır, çünki həmin müştərinin qəbulu və siyasəti bir yerdədir. Eyni zamanda etimad məlumatları, yamaqlar, monitorinq və sahib tələb edən sistemlərin sayını çoxaldır. Və tək bir məcburi ümumi ünvan sxemi qəbul etmir: son nöqtə paylaşımı, translasiya və protokol demultipleksləşdirilməsi tətbiqin həqiqətən nəyi dəstəklədiyindən asılıdır.
Təhlükəsizlik qazancını saymazdan əvvəl sistemləri və insanları sayın. Komandanın yamaqlaya biləcəyindən dörd çox şlüzü olan dizayn praktikada daha təcrid olunmuş deyil.
Əgər müştəri sayı hər ay dəyişirsə, o modelə şablon deyil, avtomatlaşdırma hekayəsi lazımdır.
Hər host üzrə bağlantılar işi yerindən tərpədir
Hər host edilən maşında bağlantı əməliyyat işini aradan qaldırmır, onu maşının həyat dövrünə köçürür. Qeydiyyat, maşın üzrə siyasət, açar rotasiyası və dəyişdirmə təchizatın bir hissəsinə çevrilir və maşının özü ilə eyni pəncərədə sıradan çıxır. Fərqli şəbəkələrdə uzunömürlü bir neçə host üçün bu çox vaxt düzgündür, hansı obrazın harada işlədiyini artıq izləyə bilməyən bir donanma üçün isə nadir hallarda.
Hər variant altında kimlik verilişi, yeniləmələr, çıxışın silinməsi, monitorinq və bərpa üçün rol adlandırın. Sonra bir müştərinin getdiyi gün nə baş verdiyini soruşun.
Xaricetmə müqayisənin içinə aiddir
Müqayisələrin çoxu xaricetməni atlayır. Müştərini silmək onun etimad məlumatlarını etibarsız etməli, siyasətini ləğv etməli, ünvanlarını və marşrutlaşdırma vəziyyətini azad etməli və qalan hər kəsə toxunmamalıdır. NIST-in sıfır etimad arxitekturası üzrə təlimatı burada düzgün mənbədir, çünki autentifikasiya və avtorizasiyanı şəbəkə mövqeyinə güvənmək əvəzinə resursun üzərinə qoyur və bu, müştərinin öz seqmentinin içində də keçərlidir.
Protokol göstəricilərini çəkməzdən əvvəl icazə verilən və qadağan olunan axınları, üst-üstə düşən ünvanların idarəsini və xaricetmə prosedurunu çəkin. Sonra seçdiyiniz sərhədə uyğun nəql və autentifikasiya üsulu seçin. Daha köhnə məhsul adı və ya hər biznesin bir protokolda standartlaşmalı olduğu iddiası bunların heç birini həll etmir. Əvvəlcə yazdığınız xəritə həll edir.