Multi-tenant VPN: mienskippige gateway, per tenant of per host
In tunnel is gjin isolaasje fan tenants. Ferlykje in mienskippige gateway, gateways per tenant en ferbiningen per host op identiteitsmapping, routing en ôffier.
Beslis wa't in klant talit en wat dy klant tsjinhâldt om de boarnen fan in oare tenant te berikken. Dat binne twa besluten, en de kar foar IPsec, WireGuard of in mesh-produkt beantwurdet gjin fan beide. In tunnel dy't perfekt omheech komt, kin dochs elke tenant by steat litte om alle oaren te berikken, en in resinsje dy't de twa as itselde ding behannelet, keurt it ferkearde ûntwerp goed. Skriuw earst de kaart klant-nei-boarne: administraturen, stipe tagong, mienskiplike tsjinsten en de paden dy't wegerd bliuwe moatte.
Begjin by de kaart, net by it produkt
Dy kaart is it earste artefakt, en elke kar hjirûnder is allinnich in beslút oer wêr't de grins dy't it hanthavent wennet. Hâld it resinsjeber: ien rige per klant, ien rige per mienskiplike tsjinst en de wegerde paden útskreaun.
In kaart dy't nimmen lêze kin is in kaart dy't nimmen hanthavenje sil.
Ien tagongspunt en syn mappingprobleem
Elke pleatsing wurdt besletten troch ien operasjonele fraach, en de tabel is de hiele ferliking.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
In mienskippige gateway sintralisearret de tagong en konsintrearret it risiko op ien plak: it ferbân tusken de identiteit fan in tenant en syn belied. Groepen of tunneladressen moatte nei de juste boarnerjochten ferwize, en in oar label per klant foarkomt op himsels neat. Aparte routingkonteksten kinne oerlaapjende prefiksen hâlde as it platfoarm dat stipet en it ûntwerp folslein is. In gewoane mienskiplike routingtabel kin twa identike bestimmingsprefiksen net útinoar hâlde, allinnich om't de minsken derachter ferskillende akkounts hawwe.
Dat is de test foar de measte ûntwerpen. Twa tenants dy't beide intern nûmerje mei 10.0.0.0/8 hawwe skieden routingsteat nedich, net in nammerjochting.
In gateway per tenant keapet grinzen en systemen
Ien gateway per klant makket guon administraasje-grinzen maklik om út te lizzen, om't tagong en belied foar dy klant byinoar sitte. It fermannichfâldiget ek de systemen dy't bewiisstikken, patjes, monitoaring en in eigner nedich hawwe. En it twingt gjin ien foarskreaun arrinsjemint fan publike adressen ôf: it dielen fan einpunten, oersetting en protokol-demultiplexing hingje ôf fan wat de ymplemintaasje feitlik stipet.
Tel de systemen en de minsken foardatst de feiligenswinst telle. In ûntwerp mei fjouwer gateways mear as't it team patje kin, is yn 'e praktyk net isolearreder.
As it tenanttal elke moanne beweecht, hat dat model in ferhaal oer automatisearring nedich yn plak fan in sjabloan.
Ferbiningen per host ferpleatse it wurk
In ferbining op elke hoste masine hellet it operasjonele wurk net fuort, it ferpleatst it nei de libbenssyklus fan 'e masine. Ynskriuwing, belied per masine, kaairotasje en ferfanging wurde diel fan 'e ta provisioning, en se mislearje yn itselde finster as de masine sels. Foar in hantsjefol langlibjende hosts op ferskillende netwurken is dat faak goed, en foar in float dy't al it spoar fan hokker image wêr draait kwyt is, selden.
Nammje in rol foar it útsjaan fan identiteit, updates, it fuortheljen fan tagong, monitoaring en herstel ûnder elke opsje. Freegje dan wat der bart op 'e dei dat ien klant fuortgiet.
Ôffier heart by de ferliking
De measte ferlikingen slaan ôffier oer. It fuortheljen fan in tenant moat syn bewiisstikken ûnjildich meitsje, syn belied falle litte, syn adressen en routingsteat frijlitte en alle oaren ûnoantaaste litte. De arsjitektuerrigel fan NIST foar nulfertrouwen is hjir de juste referinsje, om't it autentikaasje en autorisaasje op 'e boarne set ynstee fan op in netwurkposysje te fertrouwen, en dat jildt ek binnen it eigen segmint fan in klant.
Wagje tastiene en wegerde streamen, it omgean mei oerlaapjende adressen en de ôffierproseduere ôf foardatst protokolbenchmarks wagje. Kies dan in ferfier- en autentikaasjemetoade dy't by de grins past dy'tst keazen hast. In âlder produktnamme, of in bewearing dat elk bedriuw op ien protokol standerdisearje moat, beslist dêr neat fan. De kaart dy'tst earst skreaun hast, docht dat.