Centralitzeu l’accés dels socis per VPN sense ajuntar els socis

La proposta és raonable: cinc túnels de socis repartits en una dotzena d’ordinadors portàtils, cinc jocs de versions de client, cinc guions de suport i un enginyer que sap com encaixen. Traslladar-los a un nivell d’accés controlat resol l’excés de punts finals. També crea un objecte nou a la vostra arquitectura, un servei d’accés compartit que ara necessita el seu propi model d’autorització, i la fallada que tothom subestima és un aparell central amb tots els túnels activats que es converteix en silenci en una xarxa de trànsit entre organitzacions que mai no van acceptar ser veïnes. Aquest risc és una decisió de disseny, no una cosa que el maquinari faci pel seu compte. La feina de sota és com mantinc la comoditat sense acceptar l’efecte secundari accidental.

Comenceu pel contracte que cada soci ja ha signat

Abans de qualsevol configuració, confirmeu que el soci permet una passarel·la compartida o una connexió de lloc. Un compte personal d’accés remot, un requisit de postura del dispositiu o un flux interactiu de MFA poden no ser transferibles a un túnel compartit sense supervisió, i agrupar empleats darrere d’una identitat de client copiada és el tipus de drecera que sobreviu fins que el soci audita els seus registres. Per a cada connexió permesa, anoteu els rangs de destinació, els dominis DNS privats, les fonts internes autoritzades, el propietari de l’autenticació i què ha de passar quan falli el túnel. Demaneu al soci que confirmi per escrit la connexió compartida, incloent-hi els rangs d’origen que acceptaran. L’aprovació verbal sol canviar de significat la setmana que rota el seu equip de seguretat.

Aquest registre és el lliurable. Si no el podeu escriure per a un soci, aquell soci no està a punt per ser centralitzat.

Encamineu pel context, no només per la destinació

Dos socis acabaran fent servir el mateix rang privat, perquè cada organització tria dins del mateix espai RFC 1918. Una única taula d’encaminament corrent no pot triar el soci correcte només amb una adreça de destinació, així que els rangs solapats necessiten contextos d’encaminament separats o un altre disseny acordat. El model de domini de reenviament de RFC 4364 explica per què importa aquesta separació, i un desplegament no necessita executar MPLS per exigir la mateixa propietat a la seva plataforma de passarel·la.

Pregunteu a la plataforma una cosa directa: poden dos socis compartir un prefix de destinació i encara distingir-se per quin context d’empleat ha vingut la sessió? Si la resposta és no, aquesta restricció defineix el disseny més que qualsevol llista de funcions d’un proveïdor.

On la resposta és sí, el context d’encaminament es converteix en allò que documenteu i proveu, perquè és invisible en un traceroute.

Decidiu què escriu l’empleat i què registra el soci

Alguna feina de soci encaixa en un proxy d’aplicacions o en un espai de treball remot obert dins del context d’aquell soci. Altres feines necessiten accés de xarxa encaminat des d’un segment d’empleats aprovat, i les dues produeixen adreces d’origen diferents i rastres d’auditoria diferents a l’extrem remot. Una adreça d’origen traduïda compartida pot satisfer una llista de permisos mentre amaga quin dispositiu va fer què, així que conserveu un registre fiable d’empleat a sessió i manteniu l’autenticació de l’aplicació en lloc de tractar l’adreça de la passarel·la com una identitat, cosa que és còmoda fins al moment que el soci pregunta qui ho va fer.

Després recórrer una tasca real des de la banda de l’empleat: què cliquen, què els demana i què veuria el soci si demanés una entrada de registre. Si aquest recorregut no és reproduïble, el disseny no està acabat.

Denegueu explícitament el trànsit entre socis

El maquinari compartit no hauria d’implicar mai confiança compartida. Afegiu la denegació com una regla deliberada amb un propietari amb nom, no com un accident de configuració absent, i proveu-la en totes dues direccions amb una petició que d’altra manera tindria èxit. La prova importa perquè un permís que només és absent el pot restaurar el següent enginyer que afegeix una ruta per arreglar una queixa no relacionada.

Escriviu la denegació al registre del soci al costat dels permisos, perquè la intenció sobrevisqui als canvis de personal.

Feu-lo funcionar com un servei compartit, no com un portàtil més gran

La renovació de túnels, la rotació de credencials, la capacitat i la substitució de la passarel·la ara esdevenen canvis de servei compartit, cosa que vol dir que necessiten un calendari i un camí de comunicació que els portàtils individuals mai no van requerir. Un certificat de soci que caduca un dissabte ja no és la caiguda d’un usuari; són totes les sessions d’aquell soci alhora.

Accepteu el nivell només quan una petició denegada entre socis falla exactament com es pretenia i una petició permesa d’un empleat arriba a la destinació correcta amb l’origen correcte. Treure el conflicte de portàtils mantenint intacta la frontera de cada soci és tot l’objectiu; un disseny on cada prefix remot és abastable des de cada taula només ha mogut el problema.

Manteniu una taula petita de soci, context, rangs permesos i propietari. Serà el primer que algú demanarà durant un incident.