মাল্টি-টেন্যান্ট VPN: শেয়ার করা গেটওয়ে, প্রতি টেন্যান্ট নাকি প্রতি হোস্টে সংযোগ
টানেল মানেই টেন্যান্ট বিচ্ছিন্নতা নয়। পরিচয় ম্যাপিং, রাউটিং ও অবসরে নেওয়ার দিক থেকে শেয়ার করা গেটওয়ে, প্রতি টেন্যান্টে গেটওয়ে এবং প্রতি হোস্টে সংযোগ তুলনা করুন।
কে একজন গ্রাহককে প্রবেশ করায় এবং কী সেই গ্রাহককে অন্য টেন্যান্টের রিসোর্সে পৌঁছাতে বাধা দেয়, তা ঠিক করুন। এগুলো দুটি আলাদা সিদ্ধান্ত, আর IPsec, WireGuard বা mesh পণ্য বেছে নিলে কোনোটিরই উত্তর মেলে না। নিখুঁতভাবে ওঠা একটি টানেলও সব টেন্যান্টকে সব অন্যের কাছে পৌঁছানোর সুযোগ রেখে যেতে পারে, আর দুটিকে একই জিনিস ভাবা কোনো পর্যালোচনা ভুল নকশাকেই অনুমোদন করে। প্রথমে গ্রাহক-থেকে-রিসোর্স ম্যাপ লিখুন: প্রশাসক, সাপোর্ট প্রবেশ, শেয়ার করা সেবা এবং যে পথগুলো নিষিদ্ধই থাকতে হবে।
পণ্য নয়, ম্যাপ দিয়ে শুরু করুন
সেই ম্যাপই প্রথম আর্টিফ্যাক্ট, আর নিচের প্রতিটি পছন্দ কেবল এই সিদ্ধান্ত যে সীমাটি কোথায় থাকে। এটিকে পর্যালোচনাযোগ্য রাখুন: প্রতি গ্রাহকের জন্য এক সারি, প্রতি শেয়ার করা সেবার জন্য এক সারি, আর নিষিদ্ধ পথগুলো লিখে রাখুন।
যে ম্যাপ কেউ পড়তে পারে না, সেটি এমন ম্যাপ যা কেউ প্রয়োগ করবে না।
একটি প্রবেশ বিন্দু এবং তার ম্যাপিং সমস্যা
প্রতিটি স্থাপনা একটিমাত্র পরিচালন প্রশ্নে নির্ধারিত হয়, আর টেবিলটাই পুরো তুলনা।
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
শেয়ার করা গেটওয়ে প্রবেশকে কেন্দ্রীভূত করে এবং ঝুঁকিকে এক জায়গায় ঘন করে: টেন্যান্ট পরিচয় ও তার নীতির মধ্যকার সম্পর্ক। গ্রুপ বা টানেল ঠিকানাকে সঠিক রিসোর্স অনুমতিতে পৌঁছাতে হবে, আর প্রতি গ্রাহকের আলাদা লেবেল নিজে থেকে কিছু আটকায় না। প্ল্যাটফর্ম সমর্থন করলে এবং নকশা সম্পূর্ণ হলে পৃথক রাউটিং কনটেক্সট ওভারল্যাপিং প্রিফিক্স ধরে রাখতে পারে। সাধারণ শেয়ার করা রাউটিং টেবিল কেবল পেছনের মানুষের আলাদা অ্যাকাউন্ট থাকার কারণে দুটি অভিন্ন গন্তব্য প্রিফিক্স আলাদা করতে পারে না।
অধিকাংশ নকশার জন্য এটাই পরীক্ষা। দুটি টেন্যান্ট যারা অভ্যন্তরে 10.0.0.0/8 দিয়ে নম্বর দেয়, তাদের নামকরণ প্রথা নয়, আলাদা রাউটিং অবস্থা দরকার।
প্রতি টেন্যান্টে গেটওয়ে সীমা ও সিস্টেম কিনে দেয়
প্রতি গ্রাহকের একটি গেটওয়ে কিছু প্রশাসনিক সীমা ব্যাখ্যা করা সহজ করে, কারণ সেই গ্রাহকের প্রবেশ ও নীতি একসাথে থাকে। এটি এমন সিস্টেমও বহুগুণ বাড়ায় যাদের ক্রেডেনশিয়াল, প্যাচ, মনিটরিং ও একজন মালিক দরকার। আর এটি একটি নির্ধারিত পাবলিক-অ্যাড্রেস ব্যবস্থাও চাপিয়ে দেয় না: এন্ডপয়েন্ট শেয়ারিং, অনুবাদ ও প্রোটোকল ডিমাল্টিপ্লেক্সিং নির্ভর করে বাস্তবায়ন আসলে কী সমর্থন করে তার ওপর।
নিরাপত্তার লাভ গোনার আগে সিস্টেম আর মানুষ গুনুন। দলের প্যাচ করার সামর্থ্যের চেয়ে চারটি বেশি গেটওয়ে থাকা নকশা বাস্তবে বেশি বিচ্ছিন্ন নয়।
যদি টেন্যান্টের সংখ্যা প্রতি মাসে বদলায়, তবে সেই মডেলের টেমপ্লেট নয়, অটোমেশনের গল্প দরকার।
প্রতি হোস্টে সংযোগ কাজটা সরিয়ে নেয়
প্রতিটি হোস্ট করা মেশিনে সংযোগ পরিচালন কাজ দূর করে না, তা মেশিনের জীবনচক্রে সরিয়ে দেয়। এনরোলমেন্ট, প্রতি-মেশিন নীতি, কী রোটেশন ও প্রতিস্থাপন সবই প্রোভিশনিংয়ের অংশ হয়ে যায়, আর মেশিনের মতোই একই সময়সীমার মধ্যে ব্যর্থ হয়। ভিন্ন নেটওয়ার্কে অল্প কয়েকটি দীর্ঘজীবী হোস্টের জন্য এটি প্রায়ই ঠিক, আর যে ফ্লিট ইতিমধ্যে কোন ইমেজ কোথায় চলছে তার হিসাব হারিয়েছে, তার জন্য বিরল।
প্রতিটি বিকল্পে পরিচয় প্রদান, হালনাগাদ, প্রবেশ অপসারণ, মনিটরিং ও পুনরুদ্ধারের জন্য একটি ভূমিকার নাম দিন। তারপর জিজ্ঞাসা করুন, একদিন একজন গ্রাহক চলে গেলে কী হয়।
অবসরে নেওয়াও তুলনার অংশ
অধিকাংশ তুলনা অবসর বাদ দেয়। টেন্যান্ট সরানো মানে তার ক্রেডেনশিয়াল অকার্যকর করা, তার নীতি নামানো, তার ঠিকানা ও রাউটিং অবস্থা ছেড়ে দেওয়া, আর বাকি সবাইকে অক্ষত রাখা। NIST-এর জিরো-ট্রাস্ট আর্কিটেকচার নির্দেশনা এখানে সঠিক রেফারেন্স, কারণ এটি নেটওয়ার্ক অবস্থানের ওপর ভরসা না করে প্রমাণীকরণ ও অনুমোদন রিসোর্সের ওপর রাখে, আর তা গ্রাহকের নিজের সেগমেন্টের ভেতরেও প্রযোজ্য।
প্রোটোকল বেঞ্চমার্ক ওজন করার আগে অনুমোদিত ও নিষিদ্ধ ফ্লো, ওভারল্যাপিং-ঠিকানা হ্যান্ডলিং এবং অবসর পদ্ধতি ওজন করুন। তারপর আপনি যে সীমা বেছেছেন তার সাথে মানানসই পরিবহন ও প্রমাণীকরণ পদ্ধতি বেছে নিন। একটি পুরোনো পণ্যের নাম, বা প্রত্যেক ব্যবসাকে একটিমাত্র প্রোটোকলে মান্য করতে হবে এই দাবি, এর কিছুই মীমাংসা করে না। শুরুতে লেখা ম্যাপই করে।