Tsentraliseeri partnerite VPN-ligipääs partnerite ühendamata

Ettepanek on mõistlik: viis partneritunnelit, mis on jaotatud üle tosina sülearvuti, viis komplekti kliendiversioone, viis tugilaua skripti ja üks insener, kes teab, kuidas need kokku sobivad. Nende viimine juhitavale ligipääsutasemele parandab lõpp-punktide hargnemise. See loob ka arhitektuuri uue objekti, jagatud ligipääsuteenuse, mis vajab nüüd oma volitusmudelit, ja rike, mida kõik alahindavad, on keskne seade, mille kõik tunnelid on lubatud ning mis muutub vaikselt transiitvõrguks organisatsioonide vahel, kes ei ole kunagi nõustunud naabrid olema. See risk on disainiotsus, mitte midagi, mida riistvara ise teeb. Allpool on töö, kuidas ma hoiustan mugavuse, võtmata vastu juhuslikku kõrvalmõju.

Alusta lepingust, mille iga partner on juba allkirjastanud

Enne mis tahes konfiguratsiooni kinnita, et partner üldse lubab jagatud lüüsi või saidiühendust. Isiklik kaugjuurdepääsu konto, seadme oleku nõue või interaktiivne MFA voog ei pruugi olla ülekantav järelevalveta jagatud tunnelile, ja töötajate koondamine ühe kopeeritud kliendiidentiteedi taha on see otsetee, mis püsib, kuni partner auditeerib oma logisid. Iga lubatud ühenduse kohta kirjuta üles sihtvahemikud, privaatsed DNS-domeenid, volitatud sisemised allikad, autentimise omanik ja see, mis peab juhtuma, kui tunnel katkeb. Palu partneril ühendus kirjalikult kinnitada, sealhulgas allikavahemikud, mida ta aktsepteerib. Suuline heakskiit muudab tavaliselt tähendust nädalal, mil nende turvameeskond vahetub.

See kirje on tulemus. Kui sa ei suuda seda ühe partneri jaoks kirjutada, ei ole see partner tsentraliseerimiseks valmis.

Marsruudi konteksti, mitte ainult sihtkoha järgi

Kaks partnerit kasutavad lõpuks sama privaatset vahemikku, sest iga organisatsioon valib samast RFC 1918 ruumist. Üks tavaline marsruutimistabel ei suuda sihtkoha aadressi järgi valida õiget partnerit, seega kattuvad vahemikud vajavad eraldi marsruudikontekste või muud kokkulepitud disaini. Edastusdomeeni mudel jaotises RFC 4364 selgitab, miks see eraldamine oluline on, ja juurutamine ei pea jooksutama MPLS-i, et nõuda sama omadust oma lüüsiplatvormilt.

Küsi platvormilt otse: kas kaks partnerit saavad jagada ühte sihtprefiksit ja olla siiski eristatavad selle järgi, millisest töötaja kontekstist sessioon tuli? Kui vastus on ei, kujundab see piirang disaini rohkem kui ükski tarnija funktsioonide loend.

Kus vastus on jah, saab marsruudikontekstist see, mida dokumenteerid ja testid, sest see on traceroute-is nähtamatu.

Otsusta, mida töötaja sisestab ja mida partner logib

Osa partneritööst sobib rakenduse puhverserverisse või kaugtööruumi, mis avatakse selle partneri kontekstis. Muu töö vajab marsruuditud võrguühendust heakskiidetud töötajate segmendist ning mõlemad annavad kaugemas otsas erinevad lähteaadressid ja erinevad auditijäljed. Jagatud tõlgitud lähteaadress võib rahuldada lubatud loendit, varjates samal ajal, milline seade mida tegi, seega hoia usaldusväärset töötaja-sessiooni kirjet ja jäta rakenduse autentimine alles, selle asemel et kohelda lüüsi aadressi identiteedina, mis on mugav täpselt hetkeni, mil partner küsib, kes seda tegi.

Seejärel kõnni läbi üks tõeline ülesanne töötaja poolt: mida nad klikivad, mida neilt küsitakse ja mida partner näeks, kui ta küsiks logikirjet. Kui see läbikäik ei ole korratav, ei ole disain valmis.

Keela partneritevaheline transiit selgesõnaliselt

Jagatud riistvara ei tohiks kunagi tähendada jagatud usaldust. Lisa keeld teadliku reeglina nimetatud omanikuga, mitte puuduva konfiguratsiooni õnnetusena, ja testi seda mõlemas suunas päringuga, mis muidu õnnestuks. Test on oluline, sest luba, mis lihtsalt puudub, võib taastada järgmine insener, kes lisab marsruudi, et lahendada sõltumatu kaebus.

Kirjuta keeld partneri kirjesse lubade kõrvale, et kavatsus püsiks personalimuudatuste üle.

Käita seda jagatud teenusena, mitte suurema sülearvutina

Tunnelite uuendamine, volituste rotatsioon, võimsus ja lüüsi vahetus muutuvad nüüd kõik jagatud teenuse muudatusteks, mis tähendab, et need vajavad ajakava ja suhtluskanalit, mida üksikud sülearvutid kunagi ei nõudnud. Laupäeval aeguv partneri sertifikaat ei ole enam ühe kasutaja katkestus; see on kõik selle partneri sessioonid korraga.

Võta tase vastu alles siis, kui keelatud partneritevaheline päring ebaõnnestub täpselt kavatsetult ja lubatud töötaja päring jõuab õigesse sihtkohta õige allikaga. Sülearvutite konflikti eemaldamine, hoides iga partneri piiri puutumatuna, on kogu mõte; disain, kus iga kaugprefiks on igast lauast kättesaadav, on probleemi lihtsalt teisaldanud.

Hoia väikest tabelit partneri, konteksti, lubatud vahemike ja omaniku kohta. See on esimene asi, mida keegi intsidendi ajal küsib.