Mitme rentnikuga VPN: ühine lüüs, rentniku või hosti kaupa
Tunnel ei ole rentnike eraldamine. Võrrelge ühist lüüsi, rentnikupõhiseid lüüse ja hostipõhiseid ühendusi identiteedi vastendamise, marsruutimise ja kasutusest kõrvaldamise osas.
Otsustage, kes kliendi sisse laseb, ja mis takistab sellel kliendil jõudmast teise rentniku ressurssideni. Need on kaks otsust ja IPsec-i, WireGuardi või mesh-toote valimine ei vasta kummagile. Tunnel, mis tuleb üles laitmatult, võib ikkagi jätta iga rentniku juurdepääsu kõigile teistele, ja ülevaade, mis kohtleb neid kahte sama asjana, kinnitab vale kavandi. Kirjutage esmalt klient-ressurss-kaart: administraatorid, tugi juurdepääs, jagatud teenused ja teed, mis peavad jääma keelatuks.
Alustage kaardist, mitte tootest
See kaart on esimene artefakt ja iga valik allpool on vaid otsus selle kohta, kus elab seda kehtestav piir. Hoidke see ülevaatatav: üks rida kliendi kohta, üks rida jagatud teenuse kohta ja keelatud teed välja kirjutatud.
Kaart, mida keegi lugeda ei saa, on kaart, mida keegi ei kehtesta.
Üks sissepääsupunkt ja selle vastendamise probleem
Iga paigutuse otsustab üks operatiivne küsimus ja tabel on kogu võrdlus.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Ühine lüüs tsentraliseerib sisselaskmise ja koondab riski ühte kohta: rentniku identiteedi ja tema poliitika vahelise seose. Grupid või tunneli aadressid peavad vastenduma õigete ressursilubadega, ja erinev silt kliendi kohta ei takista iseenesest midagi. Eraldi marsruutimiskontekstid võivad hoida kattuvaid prefikseid, kui platvorm seda toetab ja kavand on täielik. Tavaline ühine marsruutimistabel ei suuda eristada kahte identset sihtprefiksit ainult seetõttu, et nende taga olevatel inimestel on erinevad kontod.
See on test enamiku kavandite jaoks. Kaks rentnikku, kes numberdavad sisemiselt 10.0.0.0/8 abil, vajavad eraldatud marsruutimisolekut, mitte nimetamiskonventsiooni.
Lüüs rentniku kohta ostab piirid ja süsteemid
Üks lüüs kliendi kohta teeb mõned halduspiirid kergesti seletatavaks, sest selle kliendi sisselaskmine ja poliitika asuvad koos. See ka mitmekordistab süsteeme, mis vajavad volitusi, paikasid, seiret ja omanikku. Ja see ei sunni peale üht ettekirjutatud avalike aadresside korraldust: lõpp-punktide jagamine, tõlge ja protokolli demultipleksimine sõltuvad sellest, mida teostus tegelikult toetab.
Loendage süsteemid ja inimesed enne, kui loendate turvavõidu. Kavand, milles on neli lüüsi rohkem, kui meeskond jõuab paigata, ei ole praktikas isoleeritum.
Kui rentnike arv muutub iga kuu, vajab see mudel automatiseerimislugu, mitte malli.
Ühendused hosti kohta liigutavad töö
Ühendus igas majutatud masinas ei kõrvalda operatiivset tööd, see paigutab selle masina elutsüklisse. Registreerimine, masinapoliitika, võtmete rotatsioon ja asendamine saavad hankimise osaks ning need ebaõnnestuvad samas aknas kui masin ise. Mõne pika elueaga hosti jaoks erinevates võrkudes on see sageli õige, ja laevastiku jaoks, mis on juba kaotanud ülevaate, milline kujutis kus jookseb, harva.
Nimetage iga valiku puhul roll identiteedi väljastamiseks, uuendusteks, juurdepääsu eemaldamiseks, seireks ja taastamiseks. Seejärel küsige, mis juhtub päeval, mil üks klient lahkub.
Kasutusest kõrvaldamine kuulub võrdlusse
Enamik võrdlusi jätab kasutusest kõrvaldamise vahele. Rentniku eemaldamine peaks muutma kehtetuks tema volitused, maha viskama tema poliitika, vabastama tema aadressid ja marsruutimisoleku ning jätma kõik teised puutumata. NIST-i nullusalduse arhitektuuri juhis on siin õige viide, sest see paneb autentimise ja volitamise ressursile, mitte ei usalda võrguasukohta, ja see kehtib ka kliendi enda segmendi sees.
Kaaluge lubatud ja keelatud vooge, kattuvate aadresside käsitlemist ja kasutusest kõrvaldamise protseduuri enne, kui kaalute protokolli võrdlusaluseid. Seejärel valige transport ja autentimismeetod, mis sobivad valitud piiriga. Vanem tootenimi või väide, et iga ettevõte peab standardima ühe protokolli järgi, ei otsusta sellest midagi. Kaart, mille te esimesena kirjutasite, otsustab.