Hawwe jo noch in side-VPN nedich as de app mTLS en SSO brûkt?
Rin de kanalen del dy’t jo app-oanmelding nea dekt, en beslút dan oft tagong ta it partikuliere netwurk oerstallich is of noch altyd de iennige wei nei de host.
Jo melde jo oan fia mTLS, it dashboard laden, en de bewearing dat de side-VPN no oerstallich is klinkt ridlik sawat sa lang as it duorret ear’t jo om twa oere nachts in databank weromsette moatte. De TLS-grins fan ’e app beskriuwt ien kanaal. De host, de databank, it back-updoel en it cloud-account drage elk har eigen yngongswei, har eigen identiteit en har eigen goedkarmer, en gjinien dêrfan wurdt troch in slagge oanmelding oefene.
Rin nei bûten fan it oanmeldskerm
Meld jo oan sa’t in gewoane brûker dat docht en skriuw elke sprong op dy’t it fersyk oanrekket: browser, râne, app-lústerder, sesje-opslach, backend-API. Elke sprong hat in eigner en in autentikaasjebeslút. Werhelje no de rinnersbaan foar de persoan dy’t de host patchje, en foar it wurk dat de nachtlike back-up skriuwt. Dy banen spjalte har meastal al by de earste sprong.
Dizze spjalting is de fraach dy’t it beäntwurdzjen wurdich is. In side-VPN is allinnich oerstallich as elk kanaal yn dy twadde baan in yngongs- en autorisaasjebelied hat dat op himsels stiet.
Fiif kanalen dy’t de app-oanmelding nea dekt
De tabel hjirûnder is in ynventarisaasjesjabloan, gjin kontrollist foar útrôljen. Folje de twadde kolom mei wat jo eigen omjouwing hjoed echt hanthavent.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
It dielen fan in identiteitsprovider foegje dizze autorisaasjes net gear. In brûker dy’t in API-fersyk stjoere mei, is dêrmei net befoege in VM-skiif te ferfangen of in databank werom te setten mei de befinings fan ’e app. NIST hâldt yn ’e gearspanning fan ’e nulfertrouwensarsjitektuer krekt dêrom resource-autentikaasje en -autorisaasje los fan netwurkplak.
In stipe-ynsjennier dy’t in ticket lêze kin, is dêrmei net befoege in konsole op ’e host efter it ticket te iepenjen.
In paad is allinnich echt as it alternative ticht bliuwt
It beheinen fan berikberens ta partikuliere administrative lústerders is in legitime ferfanging fan in side-VPN, mits it beheining hanthavene wurdt en net allinnich tekene. It gewoane misstap is in alternatyf lústerder dêr’t nimmen oan tocht hie: in tsjinst dy’t noch oan alle ynterfaces bûn is, in befeilichingsgroepregel iepene foar in oannimmer, in behearport berikber fan it ynternet.
Kontrolearje lústerders, gjin diagrammen. List op ’e host mei ss -ltnp op wat echt bûn is en befêstigje dat de administratyf poarten op in partikulier adres sitte. Lês yn ’e cloud-konsole de ynkommende regels foar it workload-subnet en sykje nei 0.0.0.0/0 op alles wat administratyf is. Probearje dan de ferbining fan bûten it partikuliere paad, want dy test is dejinge dy’t de fraach beäntwurdet.
Ien inkelde regel iepen foar de wrâld op SSH makket elk argumint fan it tunnelûntwerp ûngedien.
Skriuw de kaart foar’t jo ûntwerpen ferlykje
Foar elke rige fan ’e ynventarisaasje, skriuw op wa’t identiteiten goedkart, wa’t de tagongsregels bywurket, wa’t befinings fuorthellet as immen fuortgiet, en wa’t it weromsetten docht as it paad sels brekt. Fjouwer nammen per rige is genôch om de rigen bleat te lizzen dêr’t it antwurd in dield account en in wikiside fan trije jier lyn is.
Falidearje dan ien tastimming en ien wegering per kanaal. In tastimming bewiist dat de bedoelde identiteit it resource berikke kin fia it bedoelde paad. In wegering bewiist dat in ferlykbere identiteit dat net kin, en dat is de test dy’t minsken oerslaan, wêrom’t alternative lústerders audits oerlibje. Ferlykje it foarstelde ûntwerp mei dizze resultaten, net mei de TLS-konfiguraasje fan ’e app, dy’t nea ien fan har oefene hat.
Wêr’t in side-VPN noch syn plak fertsjinnet
In tunnel of in smelle gateway is it goede antwurd as in resource gjin eigen autentikaasje per fersyk hat: ûnderhâldspoarten fan databanken, back-updoelen, hypervisor-konsoles, bûtenbânbehear. Dy lústerders fertrouwe it netwurk, dus it netwurk moat wêze wat de opropper autentisearret.
It is net it iennige antwurd. In gateway dy’t de autorisaasje per resource ôfslút kin smeller wêze as in tunnel oer it hiele subnet en lit in better audittrâd efter as in dielde springhost.
Wurkfolchoarder: meitsje de ynventarisaasje klear, slút de alternativen, falidearje ien wegering per rige, en pas dêrnei lûk jo de tunnel werom. Kin in rige gjin wegering meitsje, hâld it partikuliere paad oant it dat kin.