VPN πολλαπλών ενοικιαστών: κοινή πύλη, ανά ενοικιαστή ή ανά host
Μια σήραγγα δεν είναι απομόνωση ενοικιαστών. Συγκρίνετε κοινή πύλη, πύλες ανά ενοικιαστή και συνδέσεις ανά host ως προς την αντιστοίχιση ταυτοτήτων, τη δρομολόγηση και την απόσυρση.
Αποφασίστε ποιος δέχεται έναν πελάτη και τι εμποδίζει αυτόν τον πελάτη να φτάσει τους πόρους ενός άλλου ενοικιαστή. Πρόκειται για δύο αποφάσεις, και η επιλογή IPsec, WireGuard ή προϊόντος mesh δεν απαντά σε καμία από τις δύο. Μια σήραγγα που σηκώνεται άψογα μπορεί ακόμη να αφήσει κάθε ενοικιαστή να φτάνει κάθε άλλον, και μια ανασκόπηση που αντιμετωπίζει τα δύο ως το ίδιο πράγμα εγκρίνει το λάθος σχέδιο. Γράψτε πρώτα τον χάρτη πελάτη-προς-πόρο: διαχειριστές, πρόσβαση υποστήριξης, κοινές υπηρεσίες και οι διαδρομές που πρέπει να μείνουν απαγορευμένες.
Ξεκινήστε με τον χάρτη, όχι με το προϊόν
Αυτός ο χάρτης είναι το πρώτο τεκμήριο, και κάθε επιλογή παρακάτω είναι μόνο απόφαση για το πού ζει το όριο που τον επιβάλλει. Κρατήστε τον αναθεωρήσιμο: μία γραμμή ανά πελάτη, μία γραμμή ανά κοινή υπηρεσία και οι απαγορευμένες διαδρομές γραμμένες.
Ένας χάρτης που κανείς δεν μπορεί να διαβάσει είναι ένας χάρτης που κανείς δεν θα επιβάλει.
Ένα σημείο εισδοχής και το πρόβλημα αντιστοίχισής του
Κάθε τοποθέτηση κρίνεται από ένα μόνο επιχειρησιακό ερώτημα, και ο πίνακας είναι ολόκληρη η σύγκριση.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Μια κοινή πύλη συγκεντρώνει την εισδοχή και συγκεντρώνει τον κίνδυνο σε ένα σημείο: τη σύνδεση ανάμεσα στην ταυτότητα ενός ενοικιαστή και την πολιτική του. Οι ομάδες ή οι διευθύνσεις σήραγγας πρέπει να ανάγονται στα σωστά δικαιώματα πόρων, και μια διαφορετική ετικέτα ανά πελάτη δεν εμποδίζει τίποτα από μόνη της. Ξεχωριστά πλαίσια δρομολόγησης μπορούν να κρατήσουν επικαλυπτόμενα προθέματα όταν η πλατφόρμα το υποστηρίζει και το σχέδιο είναι πλήρες. Ένας απλός κοινός πίνακας δρομολόγησης δεν μπορεί να ξεχωρίσει δύο ίδια προθέματα προορισμού μόνο και μόνο επειδή οι άνθρωποι πίσω τους έχουν διαφορετικούς λογαριασμούς.
Αυτό είναι το τεστ για τα περισσότερα σχέδια. Δύο ενοικιαστές που αριθμούν εσωτερικά με 10.0.0.0/8 χρειάζονται ξεχωριστή κατάσταση δρομολόγησης, όχι σύμβαση ονοματοδοσίας.
Μια πύλη ανά ενοικιαστή αγοράζει όρια και συστήματα
Μία πύλη ανά πελάτη κάνει κάποια διοικητικά όρια εύκολα στην εξήγηση, επειδή η εισδοχή και η πολιτική για αυτόν τον πελάτη βρίσκονται μαζί. Πολλαπλασιάζει επίσης τα συστήματα που χρειάζονται διαπιστευτήρια, ενημερώσεις, παρακολούθηση και ιδιοκτήτη. Και δεν επιβάλλει μία προκαθορισμένη διάταξη δημόσιων διευθύνσεων: ο διαμοιρασμός τελικών σημείων, η μετάφραση και η αποπολυπλεξία πρωτοκόλλων εξαρτώνται από το τι υποστηρίζει πραγματικά η υλοποίηση.
Μετρήστε τα συστήματα και τους ανθρώπους πριν μετρήσετε το όφελος ασφάλειας. Ένα σχέδιο με τέσσερις πύλες περισσότερες από όσες μπορεί να ενημερώνει η ομάδα δεν είναι πιο απομονωμένο στην πράξη.
Αν ο αριθμός των ενοικιαστών κινείται κάθε μήνα, αυτό το μοντέλο χρειάζεται ιστορία αυτοματισμού και όχι πρότυπο.
Οι συνδέσεις ανά host μετακινούν την εργασία
Μια σύνδεση σε κάθε φιλοξενούμενη μηχανή δεν αφαιρεί την επιχειρησιακή εργασία, τη μεταφέρει στον κύκλο ζωής της μηχανής. Η εγγραφή, η πολιτική ανά μηχανή, η εναλλαγή κλειδιών και η αντικατάσταση γίνονται μέρος της προετοιμασίας και αποτυγχάνουν στο ίδιο παράθυρο με την ίδια τη μηχανή. Για μια χούφτα μακρόβιους hosts σε ξεχωριστά δίκτυα αυτό είναι συχνά σωστό, και για ένα στόλο που έχει ήδη χάσει την εικόνα για το ποιο image τρέχει πού, σπάνια.
Ονομάστε έναν ρόλο για έκδοση ταυτοτήτων, ενημερώσεις, αφαίρεση πρόσβασης, παρακολούθηση και ανάκτηση σε κάθε επιλογή. Έπειτα ρωτήστε τι συμβαίνει την ημέρα που φεύγει ένας πελάτης.
Η απόσυρση ανήκει στη σύγκριση
Οι περισσότερες συγκρίσεις παραλείπουν την απόσυρση. Η αφαίρεση ενός ενοικιαστή πρέπει να ακυρώνει τα διαπιστευτήριά του, να ρίχνει την πολιτική του, να ελευθερώνει τις διευθύνσεις και την κατάσταση δρομολόγησης και να αφήνει όλους τους άλλους ανέγγιχτους. Οι οδηγίες αρχιτεκτονικής μηδενικής εμπιστοσύνης του NIST είναι η σωστή αναφορά εδώ, γιατί τοποθετούν τον έλεγχο ταυτότητας και την εξουσιοδότηση στον πόρο αντί να εμπιστεύονται μια θέση δικτύου, και αυτό ισχύει και μέσα στο δικό του τμήμα ενός πελάτη.
Ζυγίστε τις επιτρεπόμενες και απαγορευμένες ροές, τον χειρισμό επικαλυπτόμενων διευθύνσεων και τη διαδικασία απόσυρσης πριν ζυγίσετε τα πρωτόκολλα συγκριτικά. Έπειτα επιλέξτε μεταφορά και μέθοδο ελέγχου ταυτότητας που ταιριάζουν στο όριο που επιλέξατε. Ένα παλαιότερο όνομα προϊόντος, ή ο ισχυρισμός ότι κάθε επιχείρηση πρέπει να τυποποιηθεί σε ένα πρωτόκολλο, δεν λύνει τίποτα από αυτά. Ο χάρτης που γράψατε πρώτος το κάνει.