Encara necessiteu una VPN si feu servir un Identity-Aware Proxy?

El supòsit diu així: un cop un proxy que coneix la identitat se situa davant de les aplicacions internes, la VPN és només decoració i el client pot marxar. Això val per a un cas estret —una aplicació HTTPS interactiva que una persona fa servir al navegador— i falla silenciosament a tota la resta. El proxy autoritza una sol·licitud contra un recurs; la VPN admet un client en un àmbit de xarxa, i aquestes dues fronteres poques vegades coincideixen. Abans de jubilar un túnel, compareu les operacions que la vostra gent fa realment, no les etiquetes de producte del diagrama.

Les dues portes autoritzen coses diferents

La porta d'aplicació decideix si aquesta sol·licitud, d'aquesta identitat, pot arribar a aquest recurs protegit. La visió general d'Identity-Aware Proxy de Google descriu exactament aquesta forma: una capa central d'autorització davant de les aplicacions HTTPS, dirigida per un rol d'IAM. La frontera és el recurs, i la unitat d'accés és la sol·licitud. Una VPN encaminada fa una cosa més grollera i àmplia: admet un client en un àmbit de xarxa definit, i després l'aplicació encara decideix què pot fer aquell client.

Cap dels dos models no implica l'altre. Passar la porta no diu res sobre llegir un registre concret, i ser a la xarxa no diu res sobre tenir permís per actuar.

Què no cobreix el proxy i què cobreix la VPN

Les sessions SSH, els clients de bases de dades, els intermediaris de missatges i els noms d'amfitrió interns que cap navegador no obre no esdevenen accessibles només perquè existeixi un proxy web. Cadascun parla el seu protocol, i cadascun necessita o la seva pròpia ruta autenticada o una xarxa que el porti. Aquest és el buit que la gent descobreix el primer dia d'una migració, normalment d'un enginyer de guàrdia amb un portàtil que ja no pot resoldre un nom d'amfitrió.

La bretxa inversa és igual de real. Una VPN que admet un client en una subxarxa no autentica la persona que hi ha dins, i un dispositiu compromès en aquesta subxarxa hereta tot el que la xarxa permet. Si el requisit és autorització per sol·licitud amb una identitat auditable, l'encaminament sol no ho pot produir. La majoria d'organitzacions acaben executant totes dues, i la pregunta interessant és a quins recursos se'ls permet posar-se davant.

El flux del client decideix més que el diagrama d'arquitectura

Un inici de sessió al navegador amb una redirecció i un repte MFA ocasional és una bona experiència per a una persona que clica una adreça d'interès. Una tasca cron, una CLI o un agent de compilació no té navegador i no pot respondre un avís interactiu, així que necessita una ruta no interactiva documentada o el túnel. El descobriment d'aquest requisit sol passar després que el disseny estigui aprovat.

Compteu els clients abans de comptar les aplicacions. Un tauler pot servir cent persones; un port de base de dades pot bloquejar un equip sencer.

La postura del dispositiu no és una propietat de cap de les dues portes

Instal·lar un client VPN no és una comprovació de compliment, i un disseny basat en navegador no és automàticament incapaç de respectar la política de dispositius gestionats. Tots dos es poden integrar amb senyals de postura, i tots dos es poden desplegar sense elles. Pregunteu quina aplicació existeix, qui posseeix la política i què passa amb un dispositiu que la incompleix, en lloc d'inferir-ho de la forma del producte.

La mateixa precaució val per a la retirada de l'accés. Suprimir una pertinença a un grup al proxy i revocar un certificat per al túnel són operacions diferents amb retards diferents, i una d'elles normalment s'oblida durant la baixa.

Trobeu les rutes alternatives abans de jubilar res

Un origen desprotegit darrere del proxy, un segon nom d'amfitrió que el salta o una ruta privada àmplia heretada d'un disseny anterior decidiran quina porta té efectivament vigència. Proveu una operació permesa i una de denegada a través del client real, no de la consola, i proveu-les des d'un dispositiu que mai no s'hagi inscrit. El cas denegat és el que us diu si la porta fa alguna cosa.

Després escriviu el traspàs: inscripció, actualitzacions, retirada de l'accés i la ruta de recuperació per a algú bloquejat a les 2 de la matinada. Treure un avís o una aplicació client trasllada la responsabilitat entre equips; no elimina la responsabilitat.

Si decidiu aquesta setmana, comenceu per una llista d'operacions en lloc d'una llista de productes, marqueu quines pot fer un navegador i deixeu que la resta justifiqui l'accés de xarxa que sobrevisqui.