Sintralisearje partner-VPN-tagong sûnder de partners te ferienjen

It foarstel is ridlik: fiif partnertunnels ferspraat oer in tsiental laptops, fiif sets klintferzjes, fiif helpdesk-skripts en ien yngenieur dy't wit hoe't se byinoar passe. Se nei in behearske tagongsnivo ferpleatse lost de groei fan einpunten op. It makket ek in nij objekt yn jo arsjitektuer, in dielde tagongstsjinst dy't no syn eigen autorisaasjemodel nedich hat, en de flater dy't elkenien ûnderskat is in sintraal apparaat mei alle tunnels oan dat stil in trochfiernetwurk wurdt tusken organisaasjes dy't nea ôfpraat hawwe om buorlju te wêzen. Dat risiko is in ûntwerpkar, net eat dat de hardware fansels docht. It wurk hjirûnder is hoe't ik it gemak hâld sûnder it tafallige by-effekt te akseptearjen.

Begjin by it kontrakt dat elke partner al tekene hat

Befêstigje foar elke konfiguraasje dat de partner hielendal in dielde gateway of in sideferbining tastiet. In persoanlik tagongsaccount op ôfstân, in eask oan apparaatpostuer of in ynteraktive MFA-stream is miskien net oerdraachber nei in ûnbewekke dielde tunnel, en meiwurkers efter ien kopiearre klintidentiteit bondelje is it soart snijpaad dat oerlibbet oant de partner syn logs auditearret. Skriuw foar elke tastiene ferbining de bestimmingsberikken, privee DNS-domeinen, autorisearre ynterne boarnen, de eigner fan de autentikaasje en wat der barre moat as de tunnel fuortfalt. Freegje de partner de dielde ferbining skriftlik te befêstigjen, ynklusyf de boarneberikken dy't er akseptearret. Mûnlinge goedkarring feroaret trochgeans fan betsjutting yn 'e wike dat har befeiligingsteam roulearret.

Dat register is it resultaat. Kinne jo it net foar ien partner skriuwe, dan is dy partner net klear om sintralisearre te wurden.

Rûte op kontekst, net allinne op bestimming

Twa partners sille úteinlik itselde privee berik brûke, want elke organisaasje kiest út deselde RFC 1918-romte. Ien gewoane routingtabel kin de juste partner net allinne op in bestimmingsadres kieze, dus oerlappende berikken hawwe aparte routingkonteksten nedich of in oar ôfpraat ûntwerp. It trochstjoerdomeinmodel yn RFC 4364 ferklearret wêrom't dy skieding fan belang is, en in útrulling hoecht gjin MPLS te draaien om deselde eigenskip fan syn gatewayplatfoarm te freegjen.

Freegje it platfoarm in direkte fraach: kinne twa partners itselde bestimmingsprefiks diele en dochs ûnderskieden wurde troch út hokker meiwurkerkontekst de sesje kaam? Is it antwurd nee, dan foarmet dy beheining it ûntwerp mear as hokker leveransiersfunksjelist dan ek.

Dêr't it antwurd ja is, wurdt de routingkontekst datjinge wat jo dokumintearje en testen, want it is ûnsichtber yn in traceroute.

Beslis wat de meiwurker yntypet en wat de partner logt

Guon partnerwurk past by in applikaasjeproxy of in ôfstânswurkromte dy't yn 'e kontekst fan dy partner iepene wurdt. Oar wurk freget routed netwurktagong fan in goedkard meiwurkerssegmint, en beide leverje oare boarneadressen en oare auditspoaren oan 'e oare kant. In dield oerset boarneadres kin in allowlist foldwaan wylst it ferberget hokker apparaat wat die, dus hâld in betrouber register fan meiwurker-nei-sesje en hâld applikaasje-autentikaasje yn stee fan in gatewayadres as identiteit te behanneljen, wat handich is oant it momint dat de partner freget wa't it die.

Rin dan ien echte taak fan 'e meiwurkerskant troch: wat se klikke, wat fan har frege wurdt en wat de partner sjocht as er in logynskriuwing freget. Is dy trochrin net werhellber, dan is it ûntwerp net dien.

Weiger partner-nei-partner-trochfier eksplisyt

Dielde hardware heart nea dield fertrouwen te betsjutten. Foegje de wegering ta as in bewuste regel mei in neamde eigner, net as in ûngelok fan ûntbrekkende konfiguraasje, en test it fan beide kanten mei in fersyk dat oars slagje soe. De test is wichtich, want in tastean dat gewoan ûntbrekt kin werombrocht wurde troch de folgjende yngenieur dy't in rûte tafoeget om in net besibbe klacht op te lossen.

Skriuw de wegering yn it partnerregister njonken de tastimmingen, sadat de bedoeling personielsferoarings oerlibbet.

Rin it as in dielde tsjinst, net as in gruttere laptop

Tunnelfernijing, rotaasje fan bewizen, kapasiteit en ferfanging fan de gateway wurde no allegear feroarings oan in dielde tsjinst, wat betsjut dat se in skema en in kommunikaasjepaad nedich hawwe dat yndividuele laptops nea fregen. In partner-sertifikaat dat op in sneon ferrint is net mear de útfal fan ien brûker; it binne alle sesjes fan dy partner tagelyk.

Akseptearje it nivo pas as in wegere fersyk tusken partners krekt sa mislearret as bedoeld en in tastien meiwurkersfersyk de juste bestimming mei de juste boarne berikt. Laptopkonflikt fuorthelje wylst de grins fan elke partner yntakt bliuwt is it hiele punt; in ûntwerp wêryn't elke ôfstânsprefiks fan elk buro berikber is, hat it probleem gewoan ferpleatst.

Hâld in lyts tabel fan partner, kontekst, tastiene berikken en eigner by. It sil it earste wêze dêr't immen om freget by in ynsidint.