Oraindik behar duzu gunearen VPN bat aplikazioak mTLS eta SSO erabiltzen dituenean?
Zure aplikazioko saio-hasierak inoiz estaltzen ez dituen kanalak zeharkatu, eta erabaki sare pribaturako sarbidea soberan dagoen ala oraindik ostalarirako bide bakarra den.
mTLS bidez hasten duzu saioa, panela kargatzen da, eta gunearen VPN-a orain soberan dagoelako baieztapena sinesgarria dirudi gauerdiko bietan datu-base bat leheneratzeko beharra izaten duzun arte. Aplikazioaren TLS mugak kanal bakarra deskribatzen du. Ostalariak, datu-baseak, babeskopien helmugak eta hodeiko kontuak bakoitzak bere sarrera-bidea, bere identitatea eta bere onarlea daramatza, eta horietako bat ere ez da saio-hasiera arrakastatsu batekin frogatzen.
Ibili saio-hasierako pantailatik kanpora
Hasi saioa erabiltzaile arrunt batek egingo lukeen bezala eta idatzi eskaerak ukitzen duen jauzi bakoitza: nabigatzailea, ertza, aplikazioaren entzulea, saioen biltegia, backend APIa. Jauzi bakoitzak jabe bat eta autentifikazio-erabaki bat ditu. Orain errepikatu ibilbidea ostalaria adabatzen duenarentzat eta gaueko babeskopia idazten duen lanarentzat. Ibilbide horiek lehen jauzian bertan banatzen dira normalean.
Banatze hori da erantzutea merezi duen galdera. Gunearen VPN bat soberan dago soilik bigarren ibilbide horretako kanal bakoitzak bere horretan eusten duen sarrera- eta baimen-politika duenean.
Aplikazioko saio-hasierak inoiz estaltzen ez dituen bost kanal
Beheko taula inbentario-eredu bat da, ez ezartze-zerrenda bat. Bete bigarren zutabea zure inguruneak gaur egun benetan betearazten duenarekin.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Identitate-hornitzaile bat partekatzeak ez ditu baimen horiek batzen. API eskaera bat bidal dezakeen erabiltzaileak ez du horrekin VM disko bat ordezkatzeko edo datu-base bat aplikazioaren kredentzialekin leheneratzeko baimenik. NISTek zero konfiantzako arkitekturaren laburpenean baliabideen autentifikazioa eta baimena sareko kokapenetik bereizten ditu arrazoi zehatz honegatik.
Tiket bat irakur dezakeen laguntza-ingeniariak ez du horrekin atzean dagoen ostalarian kontsola bat irekitzeko baimenik.
Bide bat erreala da alternatiba itxita mantentzen denean bakarrik
Irisgarritasuna entzule administratibo pribatuetara mugatzea gunearen VPN baten ordezkapen legitimoa da, betiere muga betearazten bada eta ez bada soilik marrazten. Ohiko hutsa inork gogoratu ez zuen entzule alternatibo bat da: interfaze guztiei lotuta jarraitzen duen zerbitzua, kontratista batentzat irekitako segurtasun-taldearen araua, internetetik irisgarria den kudeaketa-portua.
Egiaztatu entzuleak, ez diagramak. Ostalarian, zerrendatu ss -ltnp erabiliz benetan lotuta dagoena eta egiaztatu administrazio-portuak helbide pribatu batean daudela. Hodeiko kontsoletan, irakurri karga-lanaren azpisarearen sarrera-arauak eta bilatu 0.0.0.0/0 administrazioari dagokion ezeren gainean. Ondoren probatu konexioa bide pribatutik kanpo, proba horrek erantzuten baitio galderari.
SSHn mundu osoari irekitako arau bakar batek tunelaren diseinuak egin zuen argudio guztia desegiten du.
Idatzi mapa diseinuak alderatu aurretik
Inbentarioaren errenkada bakoitzeko, idatzi nork onartzen dituen identitateak, nork eguneratzen dituen sarbide-arauak, nork kentzen dituen kredentzialak norbait joaten denean eta nork kudeatzen duen leheneratzea bidea bera hausten denean. Errenkadako lau izen nahikoa dira erantzuna kontu partekatua eta hiru urteko wiki-orri bat diren errenkadak agerian uzteko.
Ondoren baliozkotu baimen bat eta ukapen bat kanal bakoitzeko. Baimen batek frogatzen du aurreikusitako identitateak baliabidera aurreikusitako bidetik irits daitekeela. Ukapen batek frogatzen du antzeko identitate batek ezin duela, eta hori da jendeak saltatzen duen proba, eta horregatik bizirik irauten dute entzule alternatiboek auditorietan. Alderatu proposatutako diseinua emaitza horiekin, ez aplikazioaren TLS konfigurazioarekin, inoiz horietako bat ere frogatu ez zuenarekin.
Non irabazten duen oraindik gunearen VPN batek bere lekua
Tunel bat edo ate estu bat da erantzun zuzena baliabide batek bere eskari bakoitzeko autentifikaziorik ez duenean: datu-baseen mantenimendu-portuak, babeskopien helmugak, hiperbisore-kontsolak, banda kanpoko kudeaketa. Entzule horiek sarean fidatzen dira, beraz sareak izan behar du deitzailea autentifikatzen duena.
Ez da erantzun bakarra. Baliabide bakoitzeko baimena amaitzen duen ate batek azpisare osoko tunel bat baino estuagoa izan daiteke, eta jauzi-ostalari partekatu batek baino auditoria-arrasto hobea uzten du.
Lan-ordena: osatu inbentarioa, itxi alternatibak, baliozkotu ukapen bat errenkada bakoitzeko, eta gero bakarrik erretiratu tunela. Errenkada batek ukapenik sor ezin badu, eutsi bide pribatuari sor dezakeen arte.