A oes angen VPN arnoch o hyd os ydych yn defnyddio Identity-Aware Proxy?

Mae'r rhagdybiaeth fel hyn: unwaith y bydd proxy sy'n ymwybodol o hunaniaeth yn sefyll o flaen yr apiau mewnol, addurn yn unig yw'r VPN a gall y cleient fynd. Mae hynny'n wir am un achos cul, sef ap HTTPS rhyngweithiol a ddefnyddir gan berson mewn porwr, ac mae'n methu'n dawel ym mhobman arall. Mae proxy yn awdurdodi cais yn erbyn adnodd; mae VPN yn derbyn cleient i gwmpas rhwydwaith, ac anaml y mae'r ddau ffin yn cyd-fynd. Cyn i chi roi tunnel i orffwys, cymharwch y gweithrediadau y mae eich pobl yn eu gwneud mewn gwirionedd, nid labeli cynnyrch ar y diagram.

Mae'r ddau borth yn awdurdodi pethau gwahanol

Mae porth ap yn penderfynu a all y cais hwn, o'r hunaniaeth hon, gyrraedd yr adnodd gwarchodedig hwn. Mae trosolwg Identity-Aware Proxy Google yn disgrifio'r union siâp hwnnw: haen awdurdodi ganolog o flaen apiau HTTPS, wedi'i gyrru gan rôl IAM. Y ffin yw'r adnodd, a'r uned mynediad yw'r cais. Mae VPN a gyfeiriwyd yn gwneud rhywbeth mwy bras ac ehangach: mae'n derbyn cleient i gwmpas rhwydwaith diffiniedig, ac wedyn mae'r ap yn dal i benderfynu beth y caiff y cleient hwnnw ei wneud.

Nid yw'r naill fodel yn awgrymu'r llall. Nid yw pasio'r porth yn dweud dim am ddarllen cofnod penodol, ac nid yw bod ar y rhwydwaith yn dweud dim am gael caniatâd i weithredu.

Beth nad yw'r proxy yn ei gynnwys, a'r VPN yn ei gynnwys

Nid yw sesiynau SSH, cleientiaid cronfa ddata, broceriaid negeseuon ac enwau gwesteiwyr mewnol nad yw unrhyw borwr byth yn eu hagor yn dod yn gyrraeddadwy oherwydd bod proxy gwe yn bodoli. Mae pob un yn siarad ei brotocol ei hun, ac mae pob un angen naill ai ei lwybr dilysu ei hun neu rwydwaith sy'n ei gario. Dyna'r bwlch y mae pobl yn ei ddarganfod ar ddiwrnod cyntaf mudo, fel arfer gan beiriannydd ar-alwad â gliniadur na all bellach ddatrys enw gwesteiwr.

Mae'r bwlch cefn yr un mor real. Nid yw VPN sy'n derbyn cleient i isrwydwaith yn dilysu'r person y tu mewn iddi, ac mae dyfais wedi'i chyfaddawdu ar yr isrwydwaith honno'n etifeddu'r hyn y mae'r rhwydwaith yn ei ganiatáu. Os mai'r gofyniad yw awdurdodiad fesul cais gyda hunaniaeth y gellir ei harchwilio, ni all llwybr yn unig gynhyrchu hynny. Mae'r rhan fwyaf o sefydliadau'n rhedeg y ddau yn y pen draw, a'r cwestiwn diddorol yw pa adnoddau y caiff pob un ohonynt sefyll o'u blaen.

Mae llif gwaith y cleient yn penderfynu mwy na'r diagram pensaernïaeth

Mae mewngofnodi porwr gydag ailgyfeirio a her MFA achlysurol yn brofiad braf i berson sy'n clicio ar nod tudalen. Nid oes gan dasg cron, CLI na gweithredydd adeiladu borwr ac ni all ateb anogwr rhyngweithiol, felly mae angen llwybr anrhyngweithiol wedi'i ddogfennu neu'r tunnel. Mae darganfod y gofyniad hwnnw fel arfer yn digwydd ar ôl i'r dyluniad gael ei gymeradwyo.

Cyfrwch y cleientiaid cyn cyfrif yr apiau. Gall un dangosfwrdd wasanaethu cant o bobl; gall un porth cronfa ddata rwystro tîm cyfan.

Nid yw agwedd y ddyfais yn briodwedd i'r naill borth na'r llall

Nid yw gosod cleient VPN yn wirio cydymffurfiaeth, ac nid yw dyluniad sy'n seiliedig ar borwr yn awtomatig yn anghyfaddas i barchu polisi dyfeisiau a reolir. Gall y ddau integreiddio â signalau agwedd, a gellir defnyddio'r ddau hebddyn nhw. Gofynnwch pa orfodaeth sy'n bodoli, pwy sy'n berchen ar y polisi, a beth sy'n digwydd i ddyfais sy'n methu, yn hytrach na chasglu hynny o siâp y cynnyrch.

Mae'r un gofal yn berthnasol i dynnu mynediad. Mae dileu aelodaeth grŵp yn y proxy ac adenill tystysgrif ar gyfer y tunnel yn weithrediadau gwahanol ag oedi gwahanol, ac mae un ohonynt fel arfer yn cael ei anghofio wrth ymadael.

Canfyddwch y llwybrau eraill cyn rhoi unrhyw beth i orffwys

Bydd tarddiad heb ei ddiogelu y tu ôl i'r proxy, ail enw gwesteiwr sy'n ei osgoi, neu lwybr preifat eang a adawyd o ddyluniad cynharach yn penderfynu pa borth sydd mewn gwirionedd mewn grym. Profwch weithred a ganiateir ac un a wrthodwyd trwy'r cleient go iawn, nid trwy'r consol, a'u profi o ddyfais na chafodd ei chofrestru erioed. Yr achos a wrthodwyd yw'r un sy'n dweud wrthych a yw'r porth yn gwneud unrhyw beth o gwbl.

Yna ysgrifennwch y trosglwyddiad: cofrestru, diweddariadau, tynnu mynediad, a'r llwybr adfer ar gyfer rhywun a glowyd allan am 2 y bore. Mae tynnu anogwr neu ap cleient yn symud cyfrifoldeb rhwng timau; nid yw'n dileu'r cyfrifoldeb.

Os ydych yn penderfynu yr wythnos hon, dechreuwch o restr o weithrediadau yn hytrach na rhestr o gynhyrchion, nodwch ba rai y gall porwr eu gwneud, a gadewch i'r gweddill gyfiawnhau pa fynediad rhwydwaith bynnag sy'n goroesi.