Multluanta VPN: komuna pordego, po luanto aŭ po gastiganto
Tunelo ne estas izolado de luantoj. Komparu komunan pordegon, pordegojn po luanto kaj konektojn po gastiganto laŭ identeca mapado, enkursigado kaj malmuntado.
Decidu, kiu enlasas klienton kaj kio malhelpas tiun klienton atingi la rimedojn de alia luanto. Tiuj estas du decidoj, kaj elekti IPsec, WireGuard aŭ maŝan produkton respondas al neniu el ili. Tunelo, kiu ekfunkcias perfekte, ankoraŭ povas lasi ĉiun luanton kapabla atingi ĉiun alian, kaj revizio, kiu traktas la du kiel la saman aferon, aprobas la malĝustan dezajnon. Skribu unue la mapon de kliento al rimedo: administrantoj, subtena aliro, komunaj servoj kaj la vojoj, kiuj devas resti malpermesitaj.
Komencu per la mapo, ne per la produkto
Tiu mapo estas la unua artefakto, kaj ĉiu elekto sube estas nur decido pri tio, kie loĝas la limo, kiu efektivigas ĝin. Tenu ĝin revidebla: unu vico po kliento, unu vico po komuna servo kaj la malpermesitaj vojoj skribitaj.
Mapo, kiun neniu povas legi, estas mapo, kiun neniu efektivigos.
Unu enlasa punkto kaj ĝia mapada problemo
Ĉiun lokigon decidas unu sola operacia demando, kaj la tabelo estas la tuta komparo.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Komuna pordego centralizas la enlasadon kaj koncentras la riskon en unu loko: la ligo inter la identeco de luanto kaj ĝia politiko. Grupoj aŭ tunelaj adresoj devas solviĝi al la ĝustaj rimedpermesoj, kaj malsama etikedo po kliento mem ne malhelpas ion. Apartaj enkursigaj kuntekstoj povas teni interkovrantajn prefiksojn, kiam la platformo tion subtenas kaj la dezajno estas kompleta. Ordinara komuna enkursiga tabelo ne povas distingi du identajn celprefiksojn nur ĉar la homoj malantaŭ ili havas malsamajn kontojn.
Tio estas la testo por la plej multaj dezajnoj. Du luantoj, kiuj interne numeras per 10.0.0.0/8, bezonas apartan enkursigan staton, ne nomigan konvencion.
Pordego po luanto aĉetas limojn kaj sistemojn
Unu pordego po kliento faciligas klarigi iujn administrajn limojn, ĉar la enlasado kaj la politiko por tiu kliento staras kune. Ĝi ankaŭ multobligas la sistemojn, kiuj bezonas akreditaĵojn, flikaĵojn, gvatadon kaj posedanton. Kaj ĝi ne trudas unu preskribitan aranĝon de publikaj adresoj: la kunhavigo de finpunktoj, tradukado kaj protokola dismultobligo dependas de tio, kion la efektivigo efektive subtenas.
Kalkulu la sistemojn kaj la homojn antaŭ ol kalkuli la sekurecganon. Dezajno kun kvar pordegoj pli ol la teamo povas fliki ne estas pli izolita en la praktiko.
Se la nombro de luantoj moviĝas ĉiumonate, tiu modelo bezonas rakonton pri aŭtomatigo anstataŭ ŝablono.
Konektoj po gastiganto movas la laboron
Konekto sur ĉiu gastigata maŝino ne forigas la operacian laboron, ĝi translokas ĝin en la vivociklon de la maŝino. Aliĝo, politiko po maŝino, ŝlosila rotacio kaj anstataŭigo fariĝas parto de provizado, kaj ili paneas ene de la sama fenestro kiel la maŝino mem. Por manpleno da longvivaj gastigantoj sur apartaj retoj tio ofte estas ĝusta, kaj por floto, kiu jam perdis la spuron pri tio, kiu bildo funkcias kie, malofte.
Nomu rolon por identeca eldonado, ĝisdatigoj, alirforigo, gvatado kaj restarigo sub ĉiu opcio. Poste demandu, kio okazas la tagon, kiam unu kliento foriras.
Malmuntado apartenas al la komparo
Plej multaj komparoj preterlasas malmuntadon. Forigi luanton devus nuligi ĝiajn akreditaĵojn, faligi ĝian politikon, liberigi ĝiajn adresojn kaj enkursigan staton kaj lasi ĉiujn aliajn netuŝitajn. La gvidlinio de NIST pri nula-fida arkitekturo estas la ĝusta referenco ĉi tie, ĉar ĝi metas aŭtentikigon kaj rajtigon sur la rimedon anstataŭ fidi retan pozicion, kaj tio validas ankaŭ ene de la propra segmento de kliento.
Pesu la permesitajn kaj malpermesitajn fluojn, la traktadon de interkovrantaj adresoj kaj la malmuntan proceduron antaŭ ol pesi protokolajn etalonojn. Poste elektu transporton kaj aŭtentikigan metodon, kiuj taŭgas por la limo, kiun vi elektis. Pli malnova produkta nomo, aŭ aserto, ke ĉiu entrepreno devas normigi unu protokolon, decidas neniom el tio. La mapo, kiun vi skribis unue, decidas.