Ці патрэбны вам яшчэ VPN, калі вы карыстаецеся Identity-Aware Proxy?

Меркаванне такое: як толькі перад унутранымі праграмамі з'яўляецца праксі, якое ўлічвае ідэнтычнасць, VPN становіцца ўпрыгожаннем і кліент можа ісці. Гэта справядліва для аднаго вузкага выпадку — інтэрактыўнай праграмы HTTPS, якой чалавек карыстаецца ў браўзеры, — і моўчкі не працуе ўсюды іншым. Праксі аўтарызуе запыт адносна рэсурсу; VPN дапускае кліента ў межы сеткі, і гэтыя дзве мяжы рэдка супадаюць. Перад тым як адмовіцца ад тунеля, параўнайце аперацыі, якія вашыя людзі фактычна выконваюць, а не назвы прадуктаў на схеме.

Дзве брамы аўтарызуюць розныя рэчы

Брама праграмы вырашае, ці можа гэты запыт ад гэтай ідэнтычнасці дасягнуць гэтага абароненага рэсурсу. Агляд Identity-Aware Proxy ад Google апісвае менавіта такую форму: цэнтральны слой аўтарызацыі перад праграмамі HTTPS, якім кіруе роля IAM. Мяжа — гэта рэсурс, а адзінка доступу — запыт. Маршрутызаваны VPN робіць нешта грубейшае і шырэйшае: ён дапускае кліента ў вызначаныя межы сеткі, пасля чаго праграма ўсё яшчэ вырашае, што гэты кліент можа рабіць.

Ні адна мадэль не прадугледжвае іншую. Праходжанне брамы нічога не кажа пра чытанне пэўнага запісу, а знаходжанне ў сетцы нічога не кажа пра дазвол дзейнічаць.

Што праксі не пакрывае, а VPN пакрывае

Сеансы SSH, кліенты баз даных, брокеры паведамленняў і ўнутраныя імёны хостаў, якія ніколі не адкрывае ніводны браўзер, не становяцца даступнымі толькі таму, што існуе вэб-праксі. Кожны гаворыць на сваім пратаколе, і кожнаму патрэбны альбо ўласны аўтэнтыфікаваны шлях, альбо сетка, якая яго нясе. Гэта той разрыў, які людзі выяўляюць у першы дзень міграцыі, звычайна ад чарговага інжынера з ноўтбукам, які больш не можа вырашыць імя хоста.

Зваротны разрыў гэтак жа рэальны. VPN, які дапускае кліента ў падсетку, не аўтэнтыфікуе чалавека ўнутры яе, і скампраметаваная прылада ў гэтай падсетцы атрымлівае ў спадчыну ўсё, што дазваляе сетка. Калі патрабаванне — аўтарызацыя на кожны запыт з ідэнтычнасцю, якую можна аўдытаваць, адно маршрутызацыя гэтага даць не можа. Большасць арганізацый у выніку трымае абодва, і цікавае пытанне — якія рэсурсы кожнаму з іх дазволена закрываць.

Працоўны працэс кліента вырашае больш, чым схема архітэктуры

Уваход у браўзер з перанакіраваннем і часам выклікам MFA — добры досвед для чалавека, які націскае закладку. Задача cron, CLI або агент зборкі не мае браўзера і не можа адказаць на інтэрактыўнае пытанне, таму яму патрэбны дакументаваны неінтэрактыўны шлях або тунель. Выяўленне гэтай патрабаванні звычайна адбываецца пасля зацверджання дызайну.

Падлічыце кліентаў перад падлікам праграм. Адна панэль можа абслугоўваць сто чалавек; адзін порт базы даных можа заблакаваць цэлую каманду.

Стан прылады не з'яўляецца ўласцівасцю ні адной з брам

Усталяванне кліента VPN — не праверка адпаведнасці, і дызайн на аснове браўзера не з'яўляецца аўтаматычна няздольным выконваць палітыку кіраваных прылад. Абодва могуць інтэгравацца з сігналамі стану, і абодва могуць быць разгорнуты без іх. Спытайце, якое прымушэнне існуе, хто валодае палітыкай і што адбываецца з прыладай, якая яе парушае, замест таго каб рабіць высновы з формы прадукту.

Тая ж асцярожнасць тычыцца выдалення доступу. Выдаленне членства ў групе ў праксі і адкліканне сертыфіката для тунеля — розныя аперацыі з розным запазненнем, і адну з іх звычайна забываюць падчас звальнення.

Знайдзіце альтэрнатыўныя шляхі, перш чым ад чаго-небудзь адмовіцца

Неабаронены крынічны сервер за праксі, другое імя хоста, якое яго абыходзіць, або шырокі прыватны маршрут, які застаўся ад ранейшага дызайну, вызначыць, якая брама фактычна дзейнічае. Праверце дазволеную аперацыю і адмову праз рэальны кліент, а не праз кансоль, і праверце іх з прылады, якая ніколі не была зарэгістравана. Менавіта выпадак адмовы паказвае, ці робіць брама наогул што-небудзь.

Потым напішыце перадачу: рэгістрацыя, абнаўленні, выдаленне доступу і шлях аднаўлення для таго, каго заперлі ў 2 гадзіны ночы. Выдаленне запыту або кліенцкай праграмы пераносіць адказнасць паміж камандамі; яно не выдаляе адказнасць.

Калі вы вырашаеце на гэтым тыдні, пачніце са спісу аперацый, а не са спісу прадуктаў, адзначце, якія з іх можа выканаць браўзер, і няхай астатнія абгрунтуюць той сеткавы доступ, які захаваецца.