Har du stadig brug for en site-VPN, når appen bruger mTLS og SSO?
Gå gennem de kanaler, som dit app-login aldrig dækker, og afgør derefter, om privat netværksadgang er overflødig, eller stadig den eneste vej til værten.
Du logger ind via mTLS, dashbordet indlæses, og påstanden om, at site-VPN’en nu er overflødig, lyder rimelig omtrent så længe, indtil du klokken to om natten får brug for at gendanne en database. Applikationens TLS-grænse beskriver én kanal. Værten, databasen, backupmålet og cloudkontoen har hver deres egen indgangsvej, deres egen identitet og deres egen godkender, og ingen af dem afprøves af et vellykket login.
Gå udad fra login-skærmen
Log ind, som en almindelig bruger gør, og skriv hvert hop ned, som anmodningen rører: browser, edge, applikationslytter, sessionslager, backend-API. Hvert hop har en ejer og en autentificeringsbeslutning. Gentag nu vandringen for den person, der patcher værten, og for det job, der skriver den natlige backup. De vandringer forgrener sig normalt allerede ved første hop.
Den forgrening er det spørgsmål, der er værd at besvare. En site-VPN er kun overflødig, når hver kanal i den anden vandring har en indgangs- og autorisationspolitik, der står alene.
Fem kanaler, som app-loginnet aldrig dækker
Tabellen nedenfor er en inventarskabelon, ikke en tjekliste til udrulning. Udfyld den anden kolonne med det, som dit eget miljø faktisk håndhæver i dag.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Deling af en identitetsudbyder sammenlægger ikke disse autorisationer. En bruger, der må sende en API-anmodning, er ikke dermed autoriseret til at udskifte en VM-disk eller gendanne en database med applikationens legitimationsoplysninger. NIST holder i resuméet af nul-tillidsarkitekturen netop af denne grund ressourceautentificering og -autorisation adskilt fra netværksplacering.
En supportingeniør, der kan læse en sag, er ikke dermed autoriseret til at åbne en konsol på værten bag den.
En vej er kun reel, hvis alternativet forbliver lukket
At begrænse tilgængeligheden til private administrative lyttere er en legitim erstatning for en site-VPN, forudsat at begrænsningen håndhæves og ikke blot tegnes. Den sædvanlige fejl er en alternativ lytter, som ingen huskede: en tjeneste, der stadig er bundet til alle grænseflader, en sikkerhedsgrupperegel åbnet for en leverandør, en administrationsport, der kan nås fra internettet.
Kontroller lyttere frem for diagrammer. På værten, list hvad der faktisk er bundet med ss -ltnp, og bekræft, at administrationsportene sidder på en privat adresse. I cloudkonsollen, læs indgående regler for arbejdsbelastningens undernet, og se efter 0.0.0.0/0 på noget administrativt. Prøv derefter forbindelsen udefra den private vej, fordi den test er den, der besvarer spørgsmålet.
En enkelt verdensåben regel på SSH ophæver hvert argument, som tunneldesignet fremførte.
Skriv kortet, før du sammenligner designs
For hver række i inventaret, noter hvem der godkender identiteter, hvem der opdaterer adgangsreglerne, hvem der fjerner legitimationsoplysninger, når nogen forlader os, og hvem der håndterer gendannelse, når selve vejen bryder sammen. Fire navne per række er nok til at afsløre de rækker, hvor svaret er en delt konto og en wikiside fra for tre år siden.
Validér derefter én tilladelse og én afvisning per kanal. En tilladelse beviser, at den tilsigtede identitet kan nå ressourcen ad den tilsigtede vej. En afvisning beviser, at en lignende identitet ikke kan, og det er den test, folk springer over, og derfor overlever alternative lyttere revisioner. Sammenlign det foreslåede design med disse resultater, ikke med applikationens TLS-konfiguration, som aldrig afprøvede nogen af dem.
Hvor en site-VPN stadig fortjener sin plads
En tunnel eller en smal gateway er det rigtige svar, når en ressource ikke har sin egen autentificering per anmodning: vedligeholdelsesporte til databaser, backupmål, hypervisor-konsoller, out-of-band-administration. De lyttere stoler på netværket, så netværket skal være det, der autentificerer den kaldende.
Det er ikke det eneste svar. En gateway, der afslutter autorisation per ressource, kan være smallere end en tunnel, der dækker hele undernettet, og den efterlader et bedre revisionsspor end en delt jump host.
Arbejdsrækkefølge: færdiggør inventaret, luk alternativerne, validér én afvisning per række, og først derefter afvikl tunnelen. Hvis en række ikke kan frembringe en afvisning, så behold den private vej, indtil den kan.