Hawwe jo noch in VPN nedich as jo in Identity-Aware Proxy brûke?

De oanname is sa: sadree't in identiteitsbewuste proxy foar de ynterne applikaasjes stiet, is de VPN allinnich fersiering en kin de klant fuort. Dat jildt foar ien smel gefal, in ynteraktive HTTPS-applikaasje dy't in persoan yn in browser brûkt, en it mislearret stil oeral oars. In proxy autorisearret in fersyk tsjin in boarne; in VPN lit in klant ta yn in netwurkberik, en dy twa grinzen komme selden oerien. Foardat jo in tunnel ôftanke, ferlykje de operaasjes dy't jo minsken eins dogge, net de produktlabels op it diagram.

De twa poarten autorisearje ferskillende dingen

In applikaasjepoarte beslút oft dit fersyk, fan dizze identiteit, dit beskerme boarne berikke mei. De oersjoch fan Identity-Aware Proxy fan Google beskriuwt krekt dy foarm: in sintrale autorisaasjelaach foar HTTPS-applikaasjes, oanstjoerd troch in IAM-rol. De grins is de boarne, en de ienheid fan tagong is it fersyk. In rûte VPN docht wat rúger en breder: it lit in klant ta yn in definiearre netwurkberik, wêrnei't de applikaasje noch altyd beslút wat dy klant dwaan mei.

Gjin fan beide modellen ferûnderstelt it oare. Troch de poarte gean seit neat oer it lêzen fan in bepaald record, en op it netwurk wêze seit neat oer tastimming om te hanneljen.

Wat de proxy net dekt, en de VPN wol

SSH-sesjes, databankklanten, berjochtbrokers en ynterne hostnammen dy't gjin browser ea iepenet wurde net berikber om't der in webproxy bestiet. Elk praat syn eigen protokol, en elk hat of syn eigen autentisearre paad of in netwurk nedich dat it draacht. Dat is de kleau dy't minsken op de earste dei fan in migraasje ûntdekke, meastentiids fan in ynsetbere yngenieur mei in laptop dy't gjin hostnam mear oplosse kin.

De omkearde kleau is like echt. In VPN dy't in klant ta in subnet lit, autentisearret de persoan deryn net, en in kompromittearre apparaat op dat subnet erft wat it netwurk tastiet. As de eask autorisaasje per fersyk mei in auditeare identiteit is, kin routing allinnich dat net leverje. De measte organisaasjes einigje mei beide te betsjinjen, en de nijsgjirrige fraach is hokker boarnen elk foar stean mei.

De klantwurkstream beslút mear as it arsjitektuerdiagram

In browser-oanmelding mei in trochstjoering en in no en dan MFA-útdaging is in goede ûnderfining foar in persoan dy't op in blêdwizer klikt. In cron-taak, in CLI of in build-agint hat gjin browser en kin gjin ynteraktive fraach beälje, dus hat it in dokumintearre net-ynteraktive paad of de tunnel nedich. De ûntdekking fan dy eask bart meastentiids nei't it ûntwerp goedkard is.

Tel de klanten foardat jo de applikaasjes telle. Ien dashboard kin hûnert minsken betsjinje; ien databankpoarte kin in hiel team blokkearje.

Apparaatpostuer is gjin eigenskip fan ien fan beide poarten

It ynstallearjen fan in VPN-klant is gjin neilibbingstest, en in browserbasearre ûntwerp is net automatysk net by steat om belied foar beheardere apparaten te respektearjen. Beide kinne yntegrearje mei postuersinjalen, en beide kinne sûnder dy ûtrôle wurde. Freegje hokker hanthavening bestiet, wa't it belied hat en wat der bart mei in apparaat dat it net hellet, yn stee fan dat ôf te lieden út 'e foarm fan it produkt.

Deselde soarch jildt foar it fuortheljen fan tagong. It wiskjen fan in groepslidmaatskip yn 'e proxy en it ynlûken fan in sertifikaat foar de tunnel binne ferskillende operaasjes mei ferskillende fertraging, en ien fan beide wurdt by it ôfskie meastentiids fergetten.

Fyn de alternative paden foardat jo eat ôftankje

In ûnbeskerme oarsprong efter de proxy, in twadde hostnam dy't it omgiet, of in brede priveerûte út in earder ûntwerp sil beslute hokker poarte echt jildt. Test in tastiene operaasje en in wegere ien fia de echte klant, net fia de konsole, en test se fan in apparaat dat nea ynskreaun is. It wegere gefal is dat wat jo seit oft de poarte oait eat docht.

Skriuw dan de oerdracht: ynskriuwing, updates, it fuortheljen fan tagong en it herstelpaad foar immen dy't om 2 oere nachts bûten sluten is. It fuortheljen fan in fraach of in klantapplikaasje ferpleatst ferantwurdlikens tusken teams; it wisket de ferantwurdlikens net.

As jo dizze wike beslute, begjin dan mei in list fan operaasjes yn stee fan in list produkten, markearje hokker in browser dwaan kin, en lit de rest de netwurktagong rjochtfeardigje dy't oerbliuwt.