Monen asiakkaan VPN: jaettu yhdyskäytävä, asiakas- vai isäntäkohtainen
Tunneli ei ole asiakkaiden eristys. Vertaa jaettua yhdyskäytävää, asiakaskohtaisia yhdyskäytäviä ja isäntäkohtaisia yhteyksiä identiteettien kartoituksessa, reitityksessä ja käytöstä poistossa.
Päätä, kuka päästää asiakkaan sisään ja mikä estää tätä asiakasta pääsemästä toisen asiakkaan resursseihin. Nämä ovat kaksi päätöstä, eikä IPsecin, WireGuardin tai mesh-tuotteen valinta vastaa kumpaankaan. Täydellisesti nouseva tunneli voi silti jättää jokaisen asiakkaan pääsemään kaikkiin muihin, ja katsaus, joka kohtelee näitä kahta samana asiana, hyväksyy väärän suunnittelun. Kirjoita ensin asiakas-resurssi-kartta: ylläpitäjät, tukipääsy, jaetut palvelut ja polut, joiden on pysyttävä kiellettyinä.
Aloita kartasta, älä tuotteesta
Tuo kartta on ensimmäinen artefakti, ja jokainen alla oleva valinta on vain päätös siitä, missä sitä valvova raja asuu. Pidä se katsottavana: yksi rivi asiakasta kohden, yksi rivi jaettua palvelua kohden ja kielletyt polut kirjoitettuina.
Kartta, jota kukaan ei osaa lukea, on kartta, jota kukaan ei valvo.
Yksi sisäänpääsypiste ja sen kartoitusongelma
Jokaisen sijoittelun ratkaisee yksi operatiivinen kysymys, ja taulukko on koko vertailu.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Jaettu yhdyskäytävä keskittää sisäänpääsyn ja kokoaa riskin yhteen paikkaan: asiakkaan identiteetin ja sen käytännön välisen liitoksen. Ryhmien tai tunneliosoitteiden on ratkettava oikeiksi resurssioikeuksiksi, eikä asiakaskohtainen eri merkintä itsessään estä mitään. Erilliset reitityskontekstit voivat pitää päällekkäisiä etuliitteitä, kun alusta tukee sitä ja suunnittelu on täydellinen. Tavallinen jaettu reititystaulu ei pysty erottamaan kahta samanlaista kohde-etuliitettä vain siksi, että niiden takana olevilla ihmisillä on eri tilit.
Tämä on testi useimmille suunnitelmille. Kahden asiakkaan, jotka numeroivat sisäisesti 10.0.0.0/8:llä, tarvitsevat erillisen reititystilan, eivät nimeämiskäytäntöä.
Asiakaskohtainen yhdyskäytävä ostaa rajoja ja järjestelmiä
Yksi yhdyskäytävä asiakasta kohden tekee joistakin hallinnollisista rajoista helppoja selittää, koska kyseisen asiakkaan sisäänpääsy ja käytäntö ovat yhdessä. Se myös moninkertaistaa järjestelmät, jotka tarvitsevat tunnistetiedot, korjaukset, valvonnan ja omistajan. Eikä se pakota yhtä määrättyä julkisten osoitteiden järjestelyä: päätepisteiden jakaminen, käännös ja protokollien demultipleksointi riippuvat siitä, mitä toteutus todella tukee.
Laske järjestelmät ja ihmiset ennen kuin lasket turvahyödyn. Suunnittelu, jossa on neljä yhdyskäytävää enemmän kuin tiimi ehtii korjata, ei ole käytännössä eristetympi.
Jos asiakkaiden määrä vaihtuu joka kuukausi, malli tarvitsee automaatiotarinan eikä mallipohjaa.
Isäntäkohtaiset yhteydet siirtävät työn
Yhteys jokaisessa isännöidyssä koneessa ei poista operatiivista työtä, se siirtää sen koneen elinkaareen. Rekisteröinti, konekohtainen käytäntö, avainten kierrätys ja vaihto tulevat osaksi käyttöönottoa, ja ne epäonnistuvat samassa ikkunassa kuin kone itse. Muutamalle pitkäikäiselle isännälle erillisissä verkoissa se on usein oikein, ja laivueelle, joka on jo kadottanut käsityksen siitä, mikä levykuva ajetaan missä, harvoin.
Nimeä rooli identiteetin myöntämiselle, päivityksille, pääsyn poistolle, valvonnalle ja palautukselle kussakin vaihtoehdossa. Kysy sitten, mitä tapahtuu sinä päivänä, kun yksi asiakas lähtee.
Käytöstä poisto kuuluu vertailuun
Useimmat vertailut ohittavat käytöstä poiston. Asiakkaan poistamisen pitäisi mitätöidä sen tunnistetiedot, pudottaa sen käytäntö, vapauttaa sen osoitteet ja reititystila ja jättää kaikki muut koskemattomiksi. NISTin nollaluottamusarkkitehtuurin ohje on tässä oikea viite, koska se asettaa todennuksen ja valtuutuksen resurssille sen sijaan, että luotettaisiin verkkosijaintiin, ja se pätee myös asiakkaan oman segmentin sisällä.
Punnitse sallitut ja kielletyt virrat, päällekkäisten osoitteiden käsittely ja käytöstä poiston menettely ennen kuin punnitset protokollaviitteitä. Valitse sitten kuljetus ja todennusmenetelmä, jotka sopivat valitsemaasi rajaan. Vanhempi tuotenimi tai väite, että jokaisen yrityksen on standardoiduttava yhteen protokollaan, ei ratkaise mitään siitä. Ensin kirjoittamasi kartta ratkaisee.