Potřebujete ještě VPN pro lokalitu, když aplikace používá mTLS a SSO?
Projděte kanály, které přihlášení do aplikace nikdy nepokrývá, a rozhodněte, zda je přístup do privátní sítě nadbytečný, nebo je stále jedinou cestou k hostiteli.
Přihlásíte se přes mTLS, řídicí panel se načte a tvrzení, že VPN pro lokalitu je nyní nadbytečná, zní rozumně zhruba tak dlouho, dokud ve dvě ráno nepotřebujete obnovit databázi. Hranice TLS aplikace popisuje jeden kanál. Hostitel, databáze, cíl zálohy a cloudový účet nesou každý svou vlastní cestu vstupu, svou identitu a svého schvalovatele a žádný z nich se neprocvičuje úspěšným přihlášením.
Jděte směrem ven od přihlašovací obrazovky
Přihlaste se jako běžný uživatel a zapište každý krok, kterého se požadavek dotkne: prohlížeč, hrana, listener aplikace, úložiště relací, backendové API. Každý krok má vlastníka a rozhodnutí o autentizaci. Nyní zopakujte cestu pro člověka, který záplatuje hostitele, a pro úlohu, která zapisuje noční zálohu. Tyto cesty se obvykle rozejdou už v prvním kroku.
Právě toto rozejití je otázka, na kterou stojí za to odpovědět. VPN pro lokalitu je nadbytečná jen tehdy, když každý kanál v této druhé cestě má vlastní politiku vstupu a autorizace, která obstojí sama o sobě.
Pět kanálů, které přihlášení do aplikace nikdy nepokrývá
Tabulka níže je šablona inventáře, nikoli kontrolní seznam nasazení. Druhý sloupec vyplňte tím, co vaše prostředí dnes skutečně vynucuje.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Sdílení poskytovatele identity tyto autorizace neslučuje. Uživatel, který smí odeslat požadavek API, tím není oprávněn vyměnit disk virtuálního stroje ani obnovit databázi pomocí přihlašovacích údajů aplikace. NIST v shrnutí architektury nulové důvěry drží autentizaci a autorizaci zdrojů odděleně od síťové polohy právě z tohoto důvodu.
Podpůrný inženýr, který umí přečíst tiket, tím není oprávněn otevřít konzolu na hostiteli za ním.
Cesta je skutečná jen tehdy, když alternativa zůstane zavřená
Omezení dosažitelnosti na privátní administrativní listenery je legitimní náhradou VPN pro lokalitu, pokud se omezení vynucuje a ne jen kreslí. Obvyklým selháním je alternativní listener, na který si nikdo nevzpomněl: služba stále vázaná na všechna rozhraní, pravidlo bezpečnostní skupiny otevřené pro dodavatele, řídicí port dostupný z internetu.
Kontrolujte listenery, ne diagramy. Na hostiteli vypište, co je skutečně vázané pomocí ss -ltnp, a potvrďte, že administrativní porty sedí na privátní adrese. V cloudové konzoli si přečtěte příchozí pravidla pro podsíť pracovní zátěže a hledejte 0.0.0.0/0 na čemkoli administrativním. Potom zkuste spojení zvenčí privátní cesty, protože právě tento test odpovídá na otázku.
Jediné pravidlo otevřené celému světu na SSH ruší všechny argumenty návrhu tunelu.
Napište mapu, než začnete porovnávat návrhy
U každého řádku inventáře zaznamenejte, kdo schvaluje identity, kdo aktualizuje pravidla přístupu, kdo odstraňuje přihlašovací údaje, když někdo odejde, a kdo se stará o obnovu, když se cesta sama rozbije. Čtyři jména na řádek stačí k odhalení řádků, kde je odpovědí sdílený účet a wiki stránka tři roky stará.
Potom ověřte jedno povolení a jedno zamítnutí na každý kanál. Povolení dokazuje, že zamýšlená identita může dosáhnout zdroje zamýšlenou cestou. Zamítnutí dokazuje, že podobná identita nemůže, a to je test, který lidé přeskakují, a proto alternativní listenery přežívají audity. Porovnejte navržený design s těmito výsledky, ne s konfigurací TLS aplikace, která nikdy žádný z nich neprocvičila.
Kde si VPN pro lokalitu ještě zaslouží své místo
Tunel nebo úzká brána je správná odpověď, když zdroj nemá vlastní autentizaci na každý požadavek: porty pro údržbu databáze, cíle záloh, konzole hypervizoru, mimosystémová správa. Tyto listenery důvěřují síti, takže síť musí být tím, co autentizuje volajícího.
To není jediná odpověď. Brána, která ukončuje autorizaci pro každý zdroj, může být užší než tunel na celou podsíť a zanechává lepší auditní stopu než sdílený skokový hostitel.
Pořadí práce: dokončete inventář, zavřete alternativy, ověřte jedno zamítnutí na řádek a teprve potom tunel zrušte. Pokud nějaký řádek nedokáže vytvořit zamítnutí, ponechejte privátní cestu, dokud to nedokáže.