Χρειάζεστε ακόμη VPN αν χρησιμοποιείτε Identity-Aware Proxy;

Η υπόθεση πάει ως εξής: μόλις ένα proxy που γνωρίζει ταυτότητα σταθεί μπροστά από τις εσωτερικές εφαρμογές, το VPN είναι διακόσμηση και ο πελάτης μπορεί να φύγει. Αυτό ισχύει για μία στενή περίπτωση, μια διαδραστική εφαρμογή HTTPS που χρησιμοποιεί ένα άτομο σε πρόγραμμα περιήγησης, και αποτυγχάνει σιωπηλά παντού αλλού. Ένα proxy εξουσιοδοτεί ένα αίτημα απέναντι σε έναν πόρο· ένα VPN δέχεται έναν πελάτη σε εύρος δικτύου, και τα δύο όρια σπάνια συμπίπτουν. Πριν αποσύρετε μια σήραγγα, συγκρίνετε τις λειτουργίες που εκτελούν πραγματικά οι άνθρωποί σας, όχι τις ετικέτες προϊόντων στο διάγραμμα.

Οι δύο πύλες εξουσιοδοτούν διαφορετικά πράγματα

Μια πύλη εφαρμογής αποφασίζει αν αυτό το αίτημα, από αυτή την ταυτότητα, μπορεί να φτάσει αυτόν τον προστατευμένο πόρο. Η επισκόπηση του Identity-Aware Proxy της Google περιγράφει ακριβώς αυτό το σχήμα: ένα κεντρικό επίπεδο εξουσιοδότησης μπροστά από εφαρμογές HTTPS, που καθοδηγείται από ρόλο IAM. Το όριο είναι ο πόρος, και η μονάδα πρόσβασης είναι το αίτημα. Ένα δρομολογημένο VPN κάνει κάτι πιο χονδροειδές και ευρύ: δέχεται έναν πελάτη σε καθορισμένο εύρος δικτύου, μετά από το οποίο η εφαρμογή εξακολουθεί να αποφασίζει τι επιτρέπεται σε αυτόν τον πελάτη.

Κανένα από τα δύο μοντέλα δεν προϋποθέτει το άλλο. Το να περάσεις την πύλη δεν λέει τίποτα για την ανάγνωση μιας συγκεκριμένης εγγραφής, και το να είσαι στο δίκτυο δεν λέει τίποτα για το δικαίωμα δράσης.

Τι δεν καλύπτει το proxy και καλύπτει το VPN

Οι συνεδρίες SSH, οι πελάτες βάσεων δεδομένων, οι μεσολαβητές μηνυμάτων και τα εσωτερικά ονόματα υπολογιστών που κανένα πρόγραμμα περιήγησης δεν ανοίγει ποτέ δεν γίνονται προσβάσιμα επειδή υπάρχει ένα web proxy. Καθένα μιλά το δικό του πρωτόκολλο, και καθένα χρειάζεται είτε τη δική του ταυτοποιημένη διαδρομή είτε ένα δίκτυο που το μεταφέρει. Αυτό είναι το κενό που οι άνθρωποι ανακαλύπτουν την πρώτη μέρα μιας μετεγκάταστασης, συνήθως από έναν μηχανικό εφημερίας με φορητό υπολογιστή που δεν μπορεί πια να επιλύσει ένα όνομα υπολογιστή.

Το αντίστροφο κενό είναι εξίσου πραγματικό. Ένα VPN που δέχεται έναν πελάτη σε ένα υποδίκτυο δεν ταυτοποιεί το άτομο μέσα σε αυτό, και μια παραβιασμένη συσκευή σε αυτό το υποδίκτυο κληρονομεί ότι επιτρέπει το δίκτυο. Αν η απαίτηση είναι εξουσιοδότηση ανά αίτημα με ταυτότητα που μπορεί να ελεγχθεί, η δρομολόγηση μόνη της δεν μπορεί να την παράγει. Οι περισσότεροι οργανισμοί καταλήγουν να τρέχουν και τα δύο, και το ενδιαφέρον ερώτημα είναι σε ποιους πόρους επιτρέπεται σε καθένα να στέκεται.

Η ροή εργασίας του πελάτη αποφασίζει περισσότερα από το διάγραμμα αρχιτεκτονικής

Μια σύνδεση στο πρόγραμμα περιήγησης με ανακατεύθυνση και περιστασιακή πρόκληση MFA είναι καλή εμπειρία για ένα άτομο που κάνει κλικ σε σελιδοδείκτη. Μια εργασία cron, ένα CLI ή ένας πράκτορας κατασκευής δεν έχει πρόγραμμα περιήγησης και δεν μπορεί να απαντήσει σε διαδραστική προτροπή, οπότε χρειάζεται μια τεκμηριωμένη μη διαδραστική διαδρομή ή τη σήραγγα. Η ανακάλυψη αυτής της απαίτησης συμβαίνει συνήθως αφού εγκριθεί ο σχεδιασμός.

Μετρήστε τους πελάτες πριν μετρήσετε τις εφαρμογές. Ένας πίνακας ελέγχου μπορεί να εξυπηρετήσει εκατό ανθρώπους· μια θύρα βάσης δεδομένων μπορεί να μπλοκάρει ολόκληρη ομάδα.

Η κατάσταση της συσκευής δεν είναι ιδιότητα καμίας από τις δύο πύλες

Η εγκατάσταση πελάτη VPN δεν είναι έλεγχος συμμόρφωσης, και ένας σχεδιασμός βασισμένος σε πρόγραμμα περιήγησης δεν είναι αυτόματα ανίκανος να τηρήσει πολιτική διαχειριζόμενων συσκευών. Και τα δύο μπορούν να ενσωματωθούν με σήματα κατάστασης, και τα δύο μπορούν να αναπτυχθούν χωρίς αυτά. Ρωτήστε ποια επιβολή υπάρχει, ποιος κατέχει την πολιτική και τι συμβαίνει σε μια συσκευή που την αποτυγχάνει, αντί να το συμπεράνετε από το σχήμα του προϊόντος.

Η ίδια προσοχή ισχύει για την αφαίρεση πρόσβασης. Η διαγραφή μιας συμμετοχής σε ομάδα στο proxy και η ανάκληση ενός πιστοποιητικού για τη σήραγγα είναι διαφορετικές λειτουργίες με διαφορετική καθυστέρηση, και μία από αυτές ξεχνιέται συνήθως κατά την αποχώρηση.

Βρείτε τις εναλλακτικές διαδρομές πριν αποσύρετε οτιδήποτε

Μια απροστάτευτη προέλευση πίσω από το proxy, ένα δεύτερο όνομα υπολογιστή που το παρακάμπτει ή μια ευρεία ιδιωτική διαδρομή από παλαιότερο σχεδιασμό θα αποφασίσουν ποια πύλη ισχύει πραγματικά. Δοκιμάστε μια επιτρεπόμενη λειτουργία και μια απορριφθείσα μέσω του πραγματικού πελάτη, όχι μέσω της κονσόλας, και δοκιμάστε τις από συσκευή που δεν έχει εγγραφεί ποτέ. Η περίπτωση απόρριψης είναι αυτή που σας λέει αν η πύλη κάνει οτιδήποτε.

Στη συνέχεια γράψτε την παράδοση: εγγραφή, ενημερώσεις, αφαίρεση πρόσβασης και τη διαδρομή ανάκτησης για κάποιον που κλειδώθηκε έξω στις 2 τα ξημερώματα. Η αφαίρεση μιας προτροπής ή μιας εφαρμογής πελάτη μεταφέρει ευθύνη μεταξύ ομάδων· δεν διαγράφει την ευθύνη.

Αν αποφασίζετε αυτή την εβδομάδα, ξεκινήστε από μια λίστα λειτουργιών αντί για λίστα προϊόντων, σημειώστε ποιες μπορεί να εκτελέσει ένα πρόγραμμα περιήγησης, και αφήστε τις υπόλοιπες να δικαιολογήσουν όποια πρόσβαση δικτύου επιβιώσει.