Ĉu vi ankoraŭ bezonas VPN se vi uzas Identity-Aware Proxy?

La supozo iras tiel: post kiam konscio-pri-identeco prokuro staras antaŭ la internaj aplikaĵoj, la VPN estas nur ornamo kaj la kliento povas foriri. Tio validas por unu mallarĝa kazo, interaga HTTPS-a aplikaĵo uzata de persono en retumilo, kaj ĝi malsukcesas silente ĉie alie. Prokuro rajtigas peton kontraŭ rimedo; VPN enlasas klienton en retan amplekson, kaj la du limoj malofte kongruas. Antaŭ ol vi emeritigos tunelon, komparu la operaciojn, kiujn viaj homoj efektive plenumas, ne la produktsignojn sur la diagramo.

La du pordegoj rajtigas malsamajn aferojn

Aplikaĵa pordego decidas, ĉu ĉi tiu peto, de ĉi tiu identeco, rajtas atingi ĉi tiun protektitan rimedon. La superrigardo de Identity-Aware Proxy de Google priskribas ĝuŝe tiun formon: centra rajtiga tavolo antaŭ HTTPS-a aplikaĵoj, regata de IAM-rolo. La limo estas la rimedo, kaj la unuo de aliro estas la peto. Enkursigita VPN faras ion pli krudan kaj pli vastan: ĝi enlasas klienton en difinitan retan amplekson, post kio la aplikaĵo ankoraŭ decidas, kion tiu kliento rajtas fari.

Neniu modelo implicas la alian. Pasi la pordegon diras nenion pri legado de aparta rikordo, kaj esti en la reto diras nenion pri permeso agi.

Kion la prokuro ne kovras, kaj la VPN kovras

SSH-sesioj, datumbazaj klientoj, mesaĝaj perantoj kaj internaj gastigantnomoj, kiujn neniu retumilo iam malfermas, ne fariĝas atingeblaj nur ĉar ekzistas reta prokuro. Ĉiu parolas sian propran protokolon, kaj ĉiu bezonas aŭ sian propran aŭtentigitan vojon aŭ reton, kiu portas ĝin. Tiu estas la breĉo, kiun homoj malkovras en la unua tago de migrado, kutime de deĵora inĝeniero kun tekkomputilo, kiu jam ne povas solvi gastigantnomon.

La inversa breĉo estas same reala. VPN, kiu enlasas klienton en subreton, ne aŭtentigas la personon interne, kaj kompromitita aparato en tiu subreto heredas tion, kion la reto permesas. Se la postulo estas rajtigo por ĉiu peto kun aŭdebla identeco, nur enkursigado ne povas produkti ĝin. Plej multaj organizoj finas funkciigante ambaŭ, kaj la interesa demando estas, al kiuj rimedoj ĉiu el ili rajtas stari antaŭe.

La laborfluo de la kliento decidas pli ol la arkitektura diagramo

Retumila ensaluto kun alidirektado kaj okaza MFA-defio estas bona sperto por persono, kiu alklakas legosignon. Cron-tasko, CLI aŭ konstruaganto ne havas retumilon kaj ne povas respondi interagan peton, do ĝi bezonas dokumentitan neinteragan vojon aŭ la tunelon. La malkovro de tiu postulo kutime okazas post kiam la dezajno estas aprobita.

Kalkulu la klientojn antaŭ ol kalkuli la aplikaĵojn. Unu panelo povas servi cent homojn; unu datumbaza pordo povas bloki tutan teamon.

Aparata sinteno ne estas eco de iu ajn pordego

Instalo de VPN-kliento ne estas konformeca kontrolo, kaj retumila dezajno ne estas aŭtomate nekapabla obei politikon pri administritaj aparatoj. Ambaŭ povas integriĝi kun sintenaj signaloj, kaj ambaŭ povas esti deplojitaj sen ili. Demandu, kiu devigo ekzistas, kiu posedas la politikon kaj kio okazas al aparato, kiu malsukcesas ĝin, anstataŭ dedukti tion el la formo de la produkto.

La sama singardo validas por forigo de aliro. Forigi grupan membrecon en la prokuro kaj revoki atestilon por la tunelo estas malsamaj operacioj kun malsama prokrasto, kaj unu el ili kutime forgesiĝas dum eksiĝo.

Trovu la alternativajn vojojn antaŭ ol emeritigi ion

Neprotektita origino malantaŭ la prokuro, dua gastigantnomo, kiu preteriras ĝin, aŭ vasta privata vojo restinta el pli frua dezajno decidos, kiu pordego efektive validas. Testu permesitan operacion kaj rifuzitan unu per la reala kliento, ne per la konzolo, kaj testu ilin de aparato, kiu neniam estis registrita. La rifuzita kazo estas tiu, kiu diras al vi, ĉu la pordego entute ion faras.

Poste skribu la transdonon: registriĝo, ĝisdatigoj, forigo de aliro kaj la rekupera vojo por iu, kiu estas ŝlosita ekstere je la 2-a nokte. Forigi inviton aŭ klientan aplikaĵon movas respondecon inter teamoj; ĝi ne forigas la respondecon.

Se vi decidas ĉi-semajne, komencu per listo de operacioj anstataŭ listo de produktoj, marku, kiujn retumilo povas plenumi, kaj lasu la ceterajn pravigi ajnan retan aliron, kiu postvivos.