A oes angen VPN safle arnoch o hyd pan fo’r ap yn defnyddio mTLS a SSO?
Cerddwch drwy’r sianeli nad yw mewngofnodi eich ap byth yn eu cynnwys, yna penderfynwch a yw mynediad i’r rhwydwaith preifat yn ddiangen ai ef yw’r unig lwybr i’r gwesteiwr o hyd.
Rydych yn mewngofnodi dros mTLS, mae’r dangosfwrdd yn llwytho, ac mae’r gosodiad bod VPN y safle bellach yn ddiangen yn swnio’n rhesymol am oddeutu cyhyd ag y mae’n ei gymryd i chi fod angen adfer cronfa ddata am ddau o’r gloch y bore. Mae ffin TLS yr ap yn disgrifio un sianel. Mae’r gwesteiwr, y gronfa ddata, y targed copi wrth gefn a’r cyfrif cwmwl bob un yn cario eu llwybr mynediad eu hunain, eu hunaniaeth eu hunain a’u cymeradwywr eu hunain, ac ni chyflawnir unrhyw un ohonynt gan fewngofnodi llwyddiannus.
Cerddwch allan o’r sgrin fewngofnodi
Mewngofnodwch fel y byddai defnyddiwr cyffredin yn ei wneud a nodwch bob cam y mae’r cais yn ei gyffwrdd: porwr, ymyl, gwrandäwr yr ap, storfa sesiynau, API cefn. Mae gan bob cam berchennog a phenderfyniad dilysu. Nawr ailadroddwch y daith ar gyfer y sawl sy’n clytio’r gwesteiwr, ac ar gyfer y swydd sy’n ysgrifennu’r copi wrth gefn nos. Mae’r teithiau hynny’n gwahanu fel arfer ar y cam cyntaf.
Y gwahaniad hwnnw yw’r cwestiwn sy’n werth ei ateb. Mae VPN safle yn ddiangen yn unig pan fo gan bob sianel yn yr ail daith honno bolisi mynediad ac awdurdodi sy’n sefyll ar ei ben ei hun.
Pum sianel nad yw mewngofnodi’r ap byth yn eu cynnwys
Mae’r tabl isod yn dempled rhestr eiddo, nid yn rhestr wirio defnyddio. Llenwch yr ail golofn â’r hyn y mae eich amgylchedd yn ei orfodi heddiw.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Nid yw rhannu un darparwr hunaniaeth yn uno’r awdurdodiadau hyn. Nid yw defnyddiwr a gaiff gyflwyno cais API drwy hynny yn cael disodli disg VM nac adfer cronfa ddata â chymwysterau’r ap. Mae NIST yn chrynodeb pensaernïaeth dim ymddiriedaeth yn cadw dilysu ac awdurdodi adnoddau ar wahân i leoliad rhwydwaith am yn union y rheswm hwn.
Nid yw peiriannydd cymorth sy’n gallu darllen tocyn drwy hynny yn cael agor consol ar y gwesteiwr y tu ôl iddo.
Nid yw llwybr yn real oni bai bod y dewisiad arall yn parhau ar gau
Mae cyfyngu cyrhaeddedd i wrandawyr gweinyddol preifat yn ddisodliad cyfreithlon am VPN safle, ar yr amod bod y cyfyngiad yn cael ei orfodi ac nid ei luniadu’n unig. Y methiant arferol yw gwrandäwr arall na chofiodd neb amdano: gwasanaeth sy’n dal i fod wedi’i rwymo i bob rhyngwyneb, rheol grŵp diogelwch a agorwyd ar gyfer contractwr, porth rheoli y gellir ei gyrraedd o’r rhyngrwyd.
Gwiriwch wrandawyr yn hytrach na diagramau. Ar y gwesteiwr, rhestrwch yr hyn sydd wedi’i rwymo mewn gwirionedd gyda ss -ltnp a chadarnhewch fod y pyrth weinyddol ar gyferiad preifat. Yn y consol cwmwl, darllenwch y rheolau mewnddol ar gyfer is-rwydwaith y llwyth gwaith a chwiliwch am 0.0.0.0/0 ar unrhyw beth gweinyddol. Yna rhowch gynnig ar y cysylltiad o’r tu allan i’r llwybr preifat, oherwydd y prawf hwnnw sy’n ateb y cwestiwn.
Mae un rheol agored i’r byd ar SSH yn dadwneud pob dadl a wnaeth dyluniad y twnnel.
Ysgrifennwch y map cyn i chi gymharu dyluniadau
Ar gyfer pob rhes o’r rhestr eiddo, cofnodwch pwy sy’n cymeradwyo hunaniaethau, pwy sy’n diweddaru’r rheolau mynediad, pwy sy’n tynnu cymwysterau pan fo rhywun yn gadael, a phwy sy’n ymdrin ag adfer pan fo’r llwybr ei hun yn torri. Mae pedwar enw y rhes yn ddigon i ddinoethi’r rhesi lle mae’r ateb yn gyfrif a rennir a thudalen wici o dair blynedd yn ôl.
Yna dilyswch un caniatâd ac un gwaharddiad y sianel. Mae caniatâd yn profi y gall yr hunaniaeth arfaethedig gyrraedd yr adnodd drwy’r llwybr arfaethedig. Mae gwaharddiad yn profi na all hunaniaeth debyg, a dyma’r prawf y mae pobl yn ei hepgor, a dyna pam y mae gwrandawyr eraill yn goroesi archwiliadau. Cymharwch y dyluniad arfaethedig â’r canlyniadau hyn, nid â chyfluniad TLS yr ap, na chyflawnodd yr un ohonynt erioed.
Lle mae VPN safle yn dal i haeddu ei le
Twnnel neu borth cyfyng yw’r ateb cywir pan nad oes gan adnodd ddilysu ei hun fesul cais: pyrth cynnal a chadw cronfa ddata, targedau copi wrth gefn, consolau hypervisor, rheolaeth allan o fand. Mae’r gwrandawyr hynny’n ymddiried yn y rhwydwaith, felly’r rhwydwaith sy’n rhaid dilysu’r galwr.
Nid hwn yw’r unig ateb. Gall porth sy’n terfynu awdurdodi fesul adnodd fod yn gulach na thwnnel ar draws is-rwydwaith, ac mae’n gadael trywydd archwilio gwell na gwesteiwr naid a rennir.
Trefn y gwaith: cwblhewch y rhestr eiddo, caewch y dewisiadau eraill, dilyswch un gwaharddiad y rhes, ac yn unig wedyn ymddeolwch y twnnel. Os na all rhes gynhyrchu gwaharddiad, cadwch y llwybr preifat nes y gall.