Tarvitsetko vielä VPN:n, jos käytät Identity-Aware Proxyä?

Oletus kuuluu näin: kun identiteetin tunteva välityspalvelin asetetaan sisäisten sovellusten eteen, VPN on vain koriste ja asiakas voi lähteä. Tämä pitää yhdessä kapeassa tapauksessa, selaimessa käytettävässä interaktiivisessa HTTPS-sovelluksessa, ja epäonnistuu hiljaa kaikkialla muualla. Välityspalvelin valtuuttaa pyynnön resurssia vasten; VPN päästää asiakkaan verkkoalueelle, ja nämä kaksi rajaa osuvat harvoin yhteen. Ennen kuin poistat tunnelin käytöstä, vertaa toimintoja, joita ihmisesi todella suorittavat, älä kaavion tuotetarroja.

Kaksi porttia valtuuttaa eri asioita

Sovellusportti päättää, saako tämä pyyntö tältä identiteetiltä saavuttaa tämän suojatun resurssin. Googlen Identity-Aware Proxy -yleiskatsaus kuvaa juuri tuon muodon: keskitetty valtuutuskerros HTTPS-sovellusten edessä, jota IAM-rooli ohjaa. Raja on resurssi, ja pääsyn yksikkö on pyyntö. Reititetty VPN tekee jotain karkeampaa ja laajempaa: se päästää asiakkaan määritetylle verkkoalueelle, minkä jälkeen sovellus päättää edelleen, mitä asiakas saa tehdä.

Kumpikaan malli ei edellytä toista. Portin läpäiseminen ei kerro mitään tietyn tietueen lukemisesta, eikä verkossa oleminen kerro mitään luvasta toimia.

Mitä välityspalvelin ei kata ja VPN kattaa

SSH-istunnot, tietokanta-asiakkaat, viestivälittäjät ja sisäiset isäntänimet, joita mikään selain ei koskaan avaa, eivät tule tavoitettaviksi siksi, että verkkosovellusten välityspalvelin on olemassa. Jokainen puhuu omaa protokollansa, ja jokainen tarvitsee joko oman todennetun polkunsa tai verkon, joka kuljettaa sen. Tämä on se aukko, jonka ihmiset löytävät muuton ensimmäisenä päivänä, yleensä päivystävältä insinööriltä, jonka kannettava ei enää ratkaise isäntänimeä.

Käänteinen aukko on yhtä todellinen. VPN, joka päästää asiakkaan aliverkkoon, ei todenna siellä olevaa ihmistä, ja aliverkossa oleva vaarantunut laite perii kaiken, mihin verkko antaa luvan. Jos vaatimus on valtuutus pyyntöä kohti tarkastettavalla identiteetillä, pelkkä reititys ei voi tuottaa sitä. Useimmat organisaatiot päätyvät ajamaan molempia, ja mielenkiintoinen kysymys on, mitä resursseja kummankin sallitaan edustaa.

Asiakkaan työnkulku ratkaisee enemmän kuin arkkitehtuurikaavio

Selainkirjautuminen uudelleenohjauksella ja satunnaisella MFA-haasteella on hyvä kokemus kirjanmerkkiä napsauttavalle ihmiselle. Cron-työllä, CLI:llä tai koontityökalulla ei ole selainta eikä se voi vastata interaktiiviseen kehotteeseen, joten se tarvitsee dokumentoidun ei-interaktiivisen polun tai tunnelin. Tämän vaatimuksen löytäminen tapahtuu yleensä vasta, kun suunnittelu on hyväksytty.

Laske asiakkaat ennen kuin lasket sovellukset. Yksi kojelauta voi palvella sataa ihmistä; yksi tietokantaportti voi estää kokonaisen tiimin.

Laitteen tila ei ole kummankaan portin ominaisuus

VPN-asiakkaan asennus ei ole vaatimustenmukaisuuden tarkistus, eikä selainpohjainen suunnittelu ole automaattisesti kyvytön noudattamaan hallittujen laitteiden käytäntöä. Molemmat voivat integroitua tilasignaaleihin, ja molemmat voidaan ottaa käyttöön ilman niitä. Kysy, mikä valvonta on olemassa, kenelle käytäntö kuuluu ja mitä tapahtuu laitteelle, joka ei täytä sitä, sen sijaan että päättelet sen tuotteen muodosta.

Sama varovaisuus koskee pääsyn poistamista. Ryhmäjäsenyyden poistaminen välityspalvelimesta ja tunnelin varmenteen peruuttaminen ovat eri toimintoja eri viiveellä, ja toinen niistä yleensä unohtuu pois lähtiessä.

Etsi vaihtoehtoiset reitit ennen kuin poistat mitään käytöstä

Välityspalvelimen takana oleva suojaamaton alkuperä, sen ohittava toinen isäntänimi tai aiemmasta suunnittelusta jäänyt laaja yksityinen reitti ratkaisee, mikä portti on tosiasiallisesti voimassa. Testaa sallittu toiminto ja kielletty toiminto todellisen asiakkaan kautta, älä konsolin kautta, ja testaa ne laitteesta, jota ei ole koskaan rekisteröity. Kielletty tapaus on se, joka kertoo, tekeekö portti ylipäänsä mitään.

Kirjoita sitten luovutus: rekisteröinti, päivitykset, pääsyn poistaminen ja palautuspolku jollekin, joka on yöllä kello 2 lukittuna ulos. Kehotteen tai asiakassovelluksen poistaminen siirtää vastuuta tiimien välillä; se ei poista vastuuta.

Jos päätät tällä viikolla, aloita toimintoluettelosta tuoteluettelon sijaan, merkitse, mitkä selain voi suorittaa, ja anna lopuille perustelu se verkkopääsy, joka säilyy.