Kas vajate endiselt VPN-i, kui kasutate teenust Identity-Aware Proxy?

Eeldus kõlab nii: kui identiteeti teadev puhverserver seisab sisemiste rakenduste ees, on VPN vaid kaunistus ja klient võib lahkuda. See kehtib ühe kitsa juhtumi puhul, interaktiivse HTTPS-rakenduse kohta, mida inimene brauseris kasutab, ja ebaõnnestub vaikselt kõikjal mujal. Puhverserver autoriseerib päringu ressursi vastu; VPN laseb kliendi võrguulatusse, ja need kaks piiri harva kattuvad. Enne tunnelist loobumist võrrelge toiminguid, mida teie inimesed tegelikult teevad, mitte diagrammi tootesilte.

Kaks väravat autoriseerivad eri asju

Rakenduse värav otsustab, kas see päring selle identiteedi poolt võib jõuda selle kaitstud ressursini. Google'i Identity-Aware Proxy ülevaade kirjeldab täpselt sellist kuju: keskne autoriseerimiskiht HTTPS-rakenduste ees, mida juhib IAM-roll. Piiriks on ressurss ja juurdepääsu ühikuks on päring. Marsruuditud VPN teeb midagi jämedamat ja laiemat: see laseb kliendi määratletud võrguulatusse, mille järel rakendus otsustab endiselt, mida see klient tohib teha.

Kumbki mudel ei eelda teist. Väravast läbiminek ei ütle midagi konkreetse kirje lugemise kohta, ja võrgus olemine ei ütle midagi tegutsemisloa kohta.

Mida puhverserver ei kata ja VPN katab

SSH-seansid, andmebaasikliendid, sõnumivahendajad ja sisemised hostinimed, mida ükski brauser ei ava, ei muutu kättesaadavaks ainult seetõttu, et on olemas veebipuhverserver. Igaüks räägib oma protokolli, ja igaüks vajab kas oma autenditud teed või võrku, mis seda kannab. See on lünk, mille inimesed avastavad migratsiooni esimesel päeval, tavaliselt valves oleva inseneri käest, kelle sülearvuti ei suuda enam hostinime lahendada.

Vastupidine lünk on sama tõeline. VPN, mis laseb kliendi alamvõrku, ei autenti seda inimest sees, ja selles alamvõrgus olev kahjustatud seade pärib kõik, mida võrk lubab. Kui nõue on auditeeritava identiteediga autoriseerimine iga päringu kohta, ei suuda marsruutimine üksi seda pakkuda. Enamik organisatsioone hakkab lõpuks käitama mõlemat, ja huvitav küsimus on, millistel ressurssidel tohib kumbki ees seista.

Kliendi töövoog otsustab rohkem kui arhitektuuridiagramm

Brauserisisselogimine ümbersuunamise ja aeg-ajalt MFA-väljakutsega on hea kogemus inimesele, kes klõpsab järjehoidjal. Cron-tööl, käsurealiidesel või ehitustööriistal pole brauserit ja see ei saa interaktiivsele küsimusele vastata, seega vajab see dokumenteeritud mitteinteraktiivset teed või tunnelit. Selle nõude avastamine toimub tavaliselt pärast disaini kinnitamist.

Loendage kliendid enne rakenduste loendamist. Üks armatuurlaud võib teenindada sadat inimest; üks andmebaasiport võib blokeerida terve meeskonna.

Seadme seisund ei ole kummagi värava omadus

VPN-kliendi paigaldamine ei ole vastavuskontroll, ja brauseripõhine disain ei ole automaatselt võimetu järgima hallatavate seadmete poliitikat. Mõlemad saavad integreerida seisundisignaale, ja mõlemat saab juurutada ilma nendeta. Küsige, milline jõustamine on olemas, kellele poliitika kuulub ja mis juhtub seadmega, mis selle läbib, selle asemel et tuletada seda toote kujust.

Sama ettevaatus kehtib juurdepääsu eemaldamise kohta. Grupi liikmelisuse kustutamine puhverserveris ja tunneli sertifikaadi tühistamine on erinevad toimingud erineva viivitusega, ja üks neist unustatakse tavaliselt töölt lahkumise ajal.

Leidke alternatiivsed teed enne, kui millestki loobute

Kaitsevaba päritolu puhverserveri taga, teine hostinimi, mis sellest mööda läheb, või varasemast disainist jäänud lai privaatne marsruut otsustavad, milline värav tegelikult kehtib. Testige lubatud toimingut ja keelatud toimingut läbi tegeliku kliendi, mitte konsooli, ja testige neid seadmest, mida pole kunagi registreeritud. Keelatud juhtum on see, mis ütleb teile, kas värav üldse midagi teeb.

Seejärel kirjutage üleandmine: registreerimine, uuendused, juurdepääsu eemaldamine ja taastetee kellelegi, kes on öösel kell 2 välja lukustatud. Viiba või kliendirakenduse eemaldamine liigutab vastutust meeskondade vahel; see ei kustuta vastutust.

Kui otsustate sel nädalal, alustage toimingute loendist, mitte toodete loendist, märkige, milliseid suudab brauser teha, ja laske ülejäänutel põhjendada see võrgu juurdepääs, mis ellu jääb.