Identity-Aware Proxy istifadə edirsinizsə, hələ də VPN lazımdırmı?

Fərziyyə belədir: identifikasiya ilə işləyən proksi daxili tətbiqlərin qarşısında oturan kimi, VPN yalnız bəzək olur və müştəri çıxa bilər. Bu, bir dar hal üçün doğrudur — brauzerdə istifadəçinin açdığı interaktiv HTTPS tətbiqi — və başqa bütün yerlərdə səssizcə uğursuz olur. Proksi sorğunu resursa qarşı avtorizasiya edir; VPN isə klienti şəbəkə əhatəsinə buraxır, və bu iki sərhəd nadir hallarda üst-üstə düşür. Tuneli təqaüdə çıxarmazdan əvvəl insanlarınızın həqiqətən yerinə yetirdiyi əməliyyatları müqayisə edin, diaqramdakı məhsul etiketlərini deyil.

İki qapı fərqli şeyləri avtorizasiya edir

Tətbiq qapısı bu sorğunun bu kimlikdən bu qorunan resursa çata biləcəyinə qərar verir. Google-un Identity-Aware Proxy icmalı məhz bu formanı təsvir edir: HTTPS tətbiqlərinin qarşısında IAM rolu ilə idarə olunan mərkəzi avtorizasiya qatı. Sərhəd resursdur, giriş vahidi isə sorğudur. Marşrutlaşdırılmış VPN daha qaba və geniş bir şey edir: klienti müəyyən edilmiş şəbəkə əhatəsinə buraxır, bundan sonra tətbiq həmin müştərinin nə edə biləcəyinə qərar verir.

Nə bir model digərini nəzərdə tutur. Qapıdan keçmək müəyyən bir qeydin oxunması barədə heç nə demir, şəbəkədə olmaq isə hərəkət etməyə icazə verildiyi barədə heç nə demir.

Proksinin əhatə etmədiyi, VPN-in əhatə etdiyi

SSH sessiyaları, verilənlər bazası müştəriləri, mesaj brokerləri və heç bir brauzerin açmadığı daxili host adları veb-proksi mövcud olduğu üçün əlçatan olmur. Hər biri öz protokolunu danışır və hər biri ya öz autentifikasiyalı yolunu, ya da onu daşıyan şəbəkəni tələb edir. Bu, miqrasiyanın ilk günündə insanların aşkar etdiyi boşluqdur — adətən host adını artıq həll edə bilməyən noutbuku olan növbətçi mühəndisdən.

Əks boşluq da eyni dərəcədə realdır. Klienti subnetə buraxan VPN içindəki şəxsi autentifikasiya etmir və həmin subnetdəki zədələnmiş cihaz şəbəkənin icazə verdiyi hər şeyi miras alır. Tələb auditə yararlı kimliklə hər sorğu üzrə avtorizasiyadırsa, yalnız marşrutlaşdırma bunu verə bilməz. Əksər təşkilatlar sonda hər ikisini işlədir və maraqlı sual hər birinə hansı resursların qarşısında durmağa icazə verildiyidir.

Müştəri iş axını arxitektura diaqramından çox şeyə qərar verir

Yönləndirmə və arabir MFA çağırışı ilə brauzerdə daxil olmaq əlfəcinə klikləyən şəxs üçün yaxşı təcrübədir. Cron tapşırığı, CLI və ya build agentinin brauzeri yoxdur və interaktiv sorğuya cavab verə bilməz, ona görə də sənədləşdirilmiş qeyri-interaktiv yol və ya tunel lazımdır. Bu tələbin aşkarlanması adətən dizayn təsdiqləndikdən sonra baş verir.

Tətbiqləri saymazdan əvvəl müştəriləri sayın. Bir idarə paneli yüz insana xidmət edə bilər; bir verilənlər bazası portu bütöv bir komandanı bloklaya bilər.

Cihaz vəziyyəti heç bir qapının xassəsi deyil

VPN müştərisinin quraşdırılması uyğunluq yoxlaması deyil və brauzer əsaslı dizayn idarə olunan cihaz siyasətinə əməl etmək qabiliyyətindən avtomatik məhrum deyil. Hər ikisi duruş siqnalları ilə inteqrasiya edə bilər və hər ikisi onlarsız yerləşdirilə bilər. Hansı icranın mövcud olduğunu, siyasətin kimə aid olduğunu və uğursuz olan cihaza nə olacağını soruşun — məhsulun formasından bunu çıxarmaq əvəzinə.

Eyni ehtiyat girişin silinməsinə də aiddir. Proksidə qrup üzvlüyünü silmək və tunel üçün sertifikatı ləğv etmək fərqli gecikməli fərqli əməliyyatlardır və biri adətən işdən çıxarma zamanı unudulur.

Bir şeyi təqaüdə çıxarmazdan əvvəl alternativ yolları tapın

Proksinin arxasındakı qorunmayan mənbə, onu keçən ikinci host adı və ya əvvəlki dizayndan qalan geniş şəxsi marşrut hansı qapının faktiki qüvvədə olduğunu müəyyən edəcək. İcazə verilən və rədd edilən əməliyyatı real müştəri vasitəsilə, konsol vasitəsilə deyil, sınaqdan keçirin və onları heç vaxt qeydiyyata alınmamış cihazdan yoxlayın. Rədd edilən hal qapının ümumiyyətlə nə iş gördüyünü sizə bildirən haldır.

Sonra təhvil sənədini yazın: qeydiyyat, yeniləmələr, girişin silinməsi və gecə saat 2-də kilidlənmiş biri üçün bərpa yolu. Sorğunu və ya müştəri tətbiqini silmək məsuliyyəti komandalar arasında köçürür; məsuliyyəti silmir.

Bu həftə qərar verirsinizsə, məhsul siyahısından deyil, əməliyyat siyahısından başlayın, hansılarını brauzerin yerinə yetirə biləcəyini qeyd edin və qalanlar sağ qalan şəbəkə girişini əsaslandırsın.