VPN multiinquilí: passarel·la compartida, per inquilí o per host
Un túnel no és aïllament entre inquilins. Compareu una passarel·la compartida, passarel·les per inquilí i connexions per host quant a mapatge d’identitats, encaminament i retirada.
Decidiu qui admet un client i què impedeix que aquest client arribi als recursos d’un altre inquilí. Són dues decisions, i triar IPsec, WireGuard o un producte mesh no respon cap de les dues. Un túnel que s’aixeca perfectament pot deixar igualment cada inquilí amb accés a tots els altres, i una revisió que tracta les dues coses com la mateixa aprova el disseny equivocat. Escriviu primer el mapa de client a recurs: administradors, accés de suport, serveis compartits i els camins que han de quedar denegats.
Comenceu pel mapa, no pel producte
Aquest mapa és el primer artefacte, i cada opció de les següents només és una decisió sobre on viu la frontera que la fa complir. Manteniu-lo revisable: una fila per client, una fila per servei compartit i els camins denegats escrits.
Un mapa que ningú no pot llegir és un mapa que ningú no farà complir.
Un sol punt d’admissió i el seu problema de mapatge
Cada ubicació es decideix amb una única pregunta operativa, i la taula és tota la comparació.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Una passarel·la compartida centralitza l’admissió i concentra el risc en un sol lloc: l’associació entre la identitat d’un inquilí i la seva política. Els grups o les adreces de túnel s’han de resoldre en els permisos de recurs correctes, i una etiqueta diferent per client no impedeix res per si sola. Els contextos d’encaminament separats poden contenir prefixos superposats quan la plataforma ho admet i el disseny és complet. Una taula d’encaminament compartida simple no pot distingir dos prefixos de destinació idèntics només perquè les persones que hi ha darrere tenen comptes diferents.
Aquesta és la prova per a la majoria de dissenys. Dos inquilins que numeren internament amb 10.0.0.0/8 necessiten estat d’encaminament separat, no una convenció de noms.
Una passarel·la per inquilí compra fronteres i sistemes
Una passarel·la per client fa que algunes fronteres administratives siguin fàcils d’explicar, perquè l’admissió i la política d’aquell client van juntes. També multiplica els sistemes que necessiten credencials, pedaços, monitoratge i un propietari. I no imposa un sol arranjament prescrit d’adreces públiques: compartir punts finals, la traducció i el desmultiplexatge de protocols depenen del que la implementació admet realment.
Compteu els sistemes i les persones abans de comptar el guany de seguretat. Un disseny amb quatre passarel·les més de les que l’equip pot pedaçar no és més aïllat a la pràctica.
Si el nombre d’inquilins es mou cada mes, aquest model necessita una història d’automatització i no una plantilla.
Les connexions per host mouen la feina
Una connexió a cada màquina allotjada no elimina la feina operativa, la trasllada al cicle de vida de la màquina. L’alta, la política per màquina, la rotació de claus i la substitució passen a formar part de l’aprovisionament, i fallen dins de la mateixa finestra que la màquina mateixa. Per a un grapat d’amfitrions de vida llarga en xarxes diferents sovint és correcte, i per a una flota que ja ha perdut el compte de quina imatge corre on poques vegades ho és.
Nomenau un rol per a l’emissió d’identitat, les actualitzacions, la retirada d’accés, el monitoratge i la recuperació a cada opció. Després pregunteu què passa el dia que un client marxa.
La retirada pertany a la comparació
La majoria de comparacions ometen la retirada. Treure un inquilí ha d’invalidar les seves credencials, deixar anar la seva política, alliberar les seves adreces i el seu estat d’encaminament i deixar tothom més intacte. La guia d’arquitectura de confiança zero de NIST és la referència correcta aquí, perquè posa l’autenticació i l’autorització al recurs en lloc de confiar en una posició de xarxa, i això també s’aplica dins del segment propi d’un client.
Peseu els fluxos permesos i denegats, el tractament d’adreces superposades i el procediment de retirada abans de pesar els referents de protocol. Després trieu un transport i un mètode d’autenticació que encaixin amb la frontera que heu triat. Un nom de producte més antic, o l’afirmació que cada negoci s’ha d’estandarditzar en un sol protocol, no resol res de tot això. El mapa que vau escriure primer ho fa.