VPN aml-ddeiliad: porth a rennir, fesul deiliad neu fesul gwesteiwr
Nid yw twnnel yn ynysu deiliaid. Cymharwch borth a rennir, pyrth fesul deiliad a chysylltiadau fesul gwesteiwr o ran mapio hunaniaeth, llwybreiddio a darfod.
Penderfynwch pwy sy'n derbyn cwsmer a beth sy'n atal y cwsmer hwnnw rhag cyrraedd adnoddau deiliad arall. Dau benderfyniad yw'r rhain, ac nid yw dewis IPsec, WireGuard neu gynnyrch mesh yn ateb y naill na'r llall. Gall twnnel sy'n codi'n berffaith adael pob deiliad yn gallu cyrraedd pob un arall o hyd, ac mae adolygiad sy'n trin y ddau fel yr un peth yn cymeradwyo'r cynllun anghywir. Ysgrifennwch y map cwsmer-i-adnodd yn gyntaf: gweinyddwyr, mynediad cymorth, gwasanaethau a rennir, a'r llwybrau sy'n rhaid aros yn waharddedig.
Dechreuwch gyda'r map, nid gyda'r cynnyrch
Y map hwnnw yw'r arteffact cyntaf, a dim ond penderfyniad ynghylch ble mae'r ffin sy'n ei gorfodi yn byw yw pob dewis isod. Cadwch ef yn adolygadwy: un rhes fesul cwsmer, un rhes fesul gwasanaeth a rennir, a'r llwybrau gwaharddedig wedi'u hysgrifennu allan.
Map na all neb ei ddarllen yw map na fydd neb yn ei orfodi.
Un pwynt derbyn a'i broblem fapio
Penderfynir ar bob lleoliad gan un cwestiwn gweithredol, a'r tabl yw'r gymhariaeth gyfan.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Mae porth a rennir yn canoli'r derbyn ac yn crynhoi'r risg mewn un man: y cysylltiad rhwng hunaniaeth deiliad a'i bolisi. Rhaid i grwpiau neu gyfeiriadau twnnel ddatrys i'r caniatadau adnodd cywir, ac nid yw label gwahanol fesul cwsmer yn atal dim ar ei ben ei hun. Gall cyd-destunau llwybreiddio ar wahân ddal rhagddodiaid sy'n gorgyffwrdd pan fo'r platfform yn cefnogi hynny a'r cynllun yn gyflawn. Ni all tabl llwybreiddio a rennir cyffredin wahaniaethu rhwng dau ragddodiad cyrchfan union yr un fath dim ond oherwydd bod gan y bobl y tu ôl iddynt gyfrifon gwahanol.
Dyma'r prawf ar gyfer y rhan fwyaf o gynlluniau. Mae dau ddeiliad sy'n rhifo'n fewnol â 10.0.0.0/8 angen cyflwr llwybreiddio ar wahân, nid confensiwn enwi.
Mae porth fesul deiliad yn prynu ffiniau a systemau
Mae un borth fesul cwsmer yn gwneud rhai ffiniau gweinyddol yn hawdd i'w hesbonio, oherwydd bod derbyn a pholisi'r cwsmer hwnnw gyda'i gilydd. Mae hefyd yn lluosi'r systemau sydd angen tystlythyrau, clesiau, monitro a pherchennog. Ac nid yw'n gorfodi un drefn gyhoeddus ragnodedig ar gyfer cyfeiriadau: mae rhannu pwyntiau terfyn, cyfieithu a demlwplecsio protocolau yn dibynnu ar yr hyn y mae'r gweithrediad yn ei gefnogi mewn gwirionedd.
Cyfrwch y systemau a'r bobl cyn cyfrif yr ennill diogelwch. Nid yw cynllun â phedair porth yn fwy nag y gall y tîm eu clytio yn fwy ynysig yn ymarferol.
Os yw nifer y deiliaid yn symud bob mis, mae angen stori awtomeiddio ar y model hwnnw, nid templed.
Mae cysylltiadau fesul gwesteiwr yn symud y gwaith
Nid yw cysylltiad ar bob peiriant a gwesteir yn dileu'r gwaith gweithredol, mae'n ei symud i gylch bywyd y peiriant. Daw ymrestru, polisi fesul peiriant, cylchdroi allweddi ac amnewid yn rhan o'r ddarpariaeth, ac maent yn methu o fewn yr un ffenestr â'r peiriant ei hun. Ar gyfer llond llaw o westeiwyr hirhoedlog ar rwydweithiau gwahanol mae hynny'n aml yn iawn, ac ar gyfer fflyd sydd eisoes wedi colli trywydd pa ddelwedd sy'n rhedeg ble, yn anaml.
Enwch rôl ar gyfer cyhoeddi hunaniaeth, diweddariadau, tynnu mynediad, monitro ac adfer o dan bob opsiwn. Yna gofynnwch beth sy'n digwydd ar y diwrnod y mae un cwsmer yn gadael.
Mae darfod yn perthyn i'r gymhariaeth
Mae'r rhan fwyaf o gymariaethau yn hepgor darfod. Dylai tynnu deiliad ddirymu ei dystlythyrau, gollwng ei bolisi, ryddhau ei gyfeiriadau a'i gyflwr llwybreiddio, a gadael pawb arall yn ddigyffwrdd. Canllaw pensaernïaeth dim-ymddiriedaeth NIST yw'r cyfeirnod cywir yma, oherwydd mae'n rhoi dilysu ac awdurdodi ar yr adnodd yn lle ymddiried mewn safle rhwydwaith, ac mae hynny'n gymwys o fewn segment y cwsmer ei hun hefyd.
Pwyswch lifau a ganiateir a'r rhai a waharddir, trin cyfeiriadau sy'n gorgyffwrdd a'r weithdrefn ddarfod cyn pwyso meincnodau protocolau. Yna dewiswch gludiant a dull dilysu sy'n addas i'r ffin a ddewiswyd gennych. Nid yw enw cynnyrch hŷn, nac haeriad bod yn rhaid i bob busnes safoni ar un protocol, yn setlo dim ohono. Mae'r map a ysgrifennwyd gennych yn gyntaf yn gwneud hynny.