Tətbiq mTLS və SSO istifadə edirsə, sayt VPN-ə hələ də ehtiyac var?
Tətbiq girişinizin heç vaxt əhatə etmədiyi kanalları gəzin, sonra şəxsi şəbəkə girişinin artıq olub-olmadığını və ya hosta yeganə yol olaraq qalıb-qalmadığını qərar verin.
mTLS ilə daxil olursunuz, idarə paneli yüklənir və sayt VPN-nin artıq lazımsız olduğu iddiası, səhər saat ikidə verilənlər bazasını bərpa etmək lazım gələnə qədər ağlabatan görünür. Tətbiqin TLS sərhədi bir kanalı təsvir edir. Host, verilənlər bazası, ehtiyat nüsxə hədəfi və bulud hesabı hər biri öz giriş yolunu, öz kimliyini və öz təsdiqləyicisini daşıyır və onların heç biri uğurlu girişlə sınanmır.
Giriş ekranından bayıra doğru gedin
Adi istifadəçi kimi daxil olun və sorğunun toxunduğu hər addımı yazın: brauzer, kənar, tətbiq dinləyicisi, sessiya anbarı, backend API. Hər addımın bir sahibi və bir autentifikasiya qərarı var. İndi hostu yamaqlayan şəxs və gecə ehtiyat nüsxəsini yazan iş üçün gəzintini təkrarlayın. Bu gəzintilər adətən ilk addımda ayrılır.
Bu ayrılma cavablandırılmağa dəyən sualdır. Sayt tuneli yalnız o ikinci gəzintidəki hər kanalın özü-özünə dayanan giriş və avtorizasiya siyasəti olduqda lazımsız olur.
Tətbiq girişinin heç vaxt əhatə etmədiyi beş kanal
Aşağıdakı cədvəl inventar şablonudur, yerləşdirmə yoxlama siyahısı deyil. İkinci sütunu öz mühitinizin bu gün həqiqətən tətbiq etdiyi ilə doldurun.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Kimlik provayderinin paylaşılması bu avtorizasiyaları birləşdirmir. API sorğusu göndərə bilən istifadəçiyə bununla VM diskini dəyişmək və ya tətbiqin etimadnamələri ilə verilənlər bazasını bərpa etmək icazəsi verilmir. NIST-in sıfır etimad arxitekturası xülasəsi məhz bu səbəbdən resurs autentifikasiyasını və avtorizasiyasını şəbəkə yerindən ayrı saxlayır.
Bileti oxuya bilən dəstək mühəndisinə bununla arxasındakı hostda konsol açmaq icazəsi verilmir.
Yol yalnız alternativ bağlı qaldıqda realdır
Əlçatanlığı şəxsi inzibati dinləyicilərlə məhdudlaşdırmaq sayt tunelinin qanuni əvəzidir, bir şərtlə ki, məhdudiyyət tətbiq olunsun, sadəcə cizilməsin. Adi uğursuzluq heç kimin xatırlamadığı alternativ dinləyicidir: bütün interfeyslərə bağlı qalan xidmət, podratçı üçün açılmış təhlükəsizlik qrupu qaydası, internetdən əlçatan idarəetmə portu.
Diaqramlara deyil, dinləyicilərə baxın. Hostda ss -ltnp ilə həqiqətən bağlı olanı siyahıya alın və inzibati portların şəxsi ünvanda olduğunu təsdiqləyin. Bulud konsolunda iş yükü alt şəbəkəsi üçün gələn qaydaları oxuyun və inzibati olan hər şeydə 0.0.0.0/0 axtarın. Sonra bağlantını şəxsi yoldan kənardan sınayın, çünki suala cavab verən məhz o testdir.
SSH üzərində tək bir dünyaya açıq qayda tunel dizaynının irəli sürdüyü hər arqumenti ləğv edir.
Dizaynları müqayisə etməzdən əvvəl xəritəni yazın
İnventarın hər sətri üçün kimin kimlikləri təsdiqlədiyini, kimin giriş qaydalarını yenilədiyini, kimsə ayrılanda kimin etimadnamələri sildiyini və yol özü pozulanda kimin bərpayla məşğul olduğunu qeyd edin. Hər sətir üçün dörd ad cavabın ortaq hesab və üç il əvvəlki wiki səhifəsi olduğu sətirləri üzə çıxarmaq üçün kifayətdir.
Sonra hər kanal üçün bir icazə və bir imtina yoxlayın. İcazə nəzərdə tutulan kimliyin resursa nəzərdə tutulan yolla çata bildiyini sübut edir. İmtina oxşar kimliyin çata bilmədiyini sübut edir və insanların atladığı test elə budur, alternativ dinləyicilərin auditlərdən sağ çıxmasının səbəbi də budur. Təklif olunan dizaynı bu nəticələrlə müqayisə edin, tətbiqin TLS konfiqurasiyası ilə deyil, çünki o, onların heç birini sınamayıb.
Sayt tunelinin hələ də yer qazandığı hal
Tunel və ya dar şlüz, resursun öz sorğu üzrə autentifikasiyası olmadıqda düzgün cavabdır: verilənlər bazasının texniki xidmət portları, ehtiyat nüsxə hədəfləri, hipervayzor konsolları, zolaqdan kənar idarəetmə. O dinləyicilər şəbəkəyə etimad edir, ona görə də zəng edəni autentifikasiya edən şey şəbəkənin özü olmalıdır.
Bu yeganə cavab deyil. Hər resurs üzrə avtorizasiyanı sonlandıran şlüz alt şəbəkə boyu tuneldən daha dar ola bilər və ortaq atlama hostundan daha yaxşı audit izi saxlayır.
İş qaydası: inventarı tamamlayın, alternativləri bağlayın, hər sətir üçün bir imtinanı yoxlayın və yalnız bundan sonra tuneli ləğv edin. Bir sətir imtina yarada bilmirsə, yaradana qədər şəxsi yolu saxlayın.