મલ્ટી-ટેનન્ટ VPN: વિભાજિત ગેટવે, દરેક ટેનન્ટ દીઠ કે દરેક હોસ્ટ દીઠ
ટનલ એ ટેનન્ટ અલગતા નથી. વિભાજિત ગેટવે, દરેક ટેનન્ટ માટેના ગેટવે અને દરેક હોસ્ટ માટેના જોડાણોની ઓળખ મેપિંગ, રાઉટિંગ અને નિવૃત્તિની દૃષ્ટિએ સરખામણી કરો.
કોણ ગ્રાહકને પ્રવેશ આપે છે અને તે ગ્રાહકને બીજા ટેનન્ટના સંસાધનો સુધી પહોંચતા શું રોકે છે તે નક્કી કરો. આ બે નિર્ણય છે, અને IPsec, WireGuard કે mesh ઉત્પાદન પસંદ કરવાથી બંનેમાંથી કોઈનો જવાબ મળતો નથી. સંપૂર્ણ રીતે ઊભો થતો ટનલ પણ દરેક ટેનન્ટને બીજા દરેક સુધી પહોંચવા દઈ શકે છે, અને બંનેને એક જ વસ્તુ ગણતી સમીક્ષા ખોટી રચનાને મંજૂરી આપે છે. પહેલાં ગ્રાહક-થી-સંસાધન નકશો લખો: વ્યવસ્થાપકો, સપોર્ટ પ્રવેશ, વિભાજિત સેવાઓ અને એ માર્ગો જે નકારેલા જ રહેવા જોઈએ.
ઉત્પાદનથી નહીં, નકશાથી શરૂ કરો
એ નકશો પહેલું દસ્તાવેજ છે, અને નીચેની દરેક પસંદગી ફક્ત એ નિર્ણય છે કે તેને લાગુ કરતી સીમા ક્યાં રહે છે. તેને સમીક્ષાયોગ્ય રાખો: દરેક ગ્રાહક માટે એક પંક્તિ, દરેક વિભાજિત સેવા માટે એક પંક્તિ અને નકારેલા માર્ગો લખેલા.
જે નકશો કોઈ વાંચી ન શકે તે નકશો કોઈ લાગુ પણ નહીં કરે.
એક પ્રવેશ બિંદુ અને તેની મેપિંગ સમસ્યા
દરેક સ્થાન એક જ કામકાજી પ્રશ્નથી નક્કી થાય છે, અને કોષ્ટક એ આખી સરખામણી છે.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
વિભાજિત ગેટવે પ્રવેશને કેન્દ્રિત કરે છે અને જોખમને એક જ જગ્યાએ ભેગું કરે છે: ટેનન્ટની ઓળખ અને તેની નીતિ વચ્ચેનો સંબંધ. જૂથો કે ટનલ સરનામાંઓ યોગ્ય સંસાધન પરવાનગીઓમાં ઉકેલાવા જોઈએ, અને દરેક ગ્રાહક માટે અલગ લેબલ પોતે કંઈ રોકતું નથી. અલગ રાઉટિંગ સંદર્ભો ઓવરલેપિંગ પ્રીફિક્સ રાખી શકે છે જ્યારે પ્લેટફોર્મ તેને ટેકો આપે અને રચના પૂર્ણ હોય. સામાન્ય વિભાજિત રાઉટિંગ કોષ્ટક ફક્ત એટલા માટે બે સમાન લક્ષ્ય પ્રીફિક્સને અલગ ન કરી શકે કે તેમની પાછળના લોકોનાં ખાતાં અલગ છે.
મોટા ભાગની રચનાઓ માટે આ જ કસોટી છે. જે બે ટેનન્ટ આંતરિક રીતે 10.0.0.0/8 સાથે નંબર આપે છે તેમને નામકરણ પ્રથા નહીં, અલગ રાઉટિંગ સ્થિતિ જોઈએ.
દરેક ટેનન્ટ દીઠ ગેટવે સીમાઓ અને સિસ્ટમો ખરીદે છે
દરેક ગ્રાહક માટે એક ગેટવે કેટલીક વહીવટી સીમાઓ સમજાવવી સહેલી બનાવે છે, કારણ કે તે ગ્રાહકનો પ્રવેશ અને નીતિ સાથે રહે છે. તે સાથે જ ઓળખપત્રો, પેચ, દેખરેખ અને માલિકની જરૂર હોય એવી સિસ્ટમોને પણ ગુણકારે છે. અને તે જાહેર સરનામાંઓની એક જ નિયત ગોઠવણી ફરજિયાત કરતું નથી: એન્ડપોઇન્ટ વહેંચણી, ભાષાંતર અને પ્રોટોકોલ ડિમલ્ટિપ્લેક્સિંગ એ અમલ ખરેખર શું ટેકો આપે છે તેના પર આધાર રાખે છે.
સુરક્ષા લાભ ગણતા પહેલાં સિસ્ટમો અને લોકો ગણો. ટીમ પેચ કરી શકે તેના કરતાં ચાર વધુ ગેટવે ધરાવતી રચના વ્યવહારમાં વધુ અલગ નથી.
જો ટેનન્ટની સંખ્યા દર મહિને બદલાય, તો તે મોડેલને નમૂના નહીં, ઓટોમેશનની વાર્તા જોઈએ.
દરેક હોસ્ટ દીઠ જોડાણો કામને ખસેડે છે
દરેક હોસ્ટ કરેલા મશીન પરનું જોડાણ કામકાજી કામ દૂર કરતું નથી, તેને મશીનના જીવનચક્રમાં ખસેડે છે. નોંધણી, દરેક મશીન માટેની નીતિ, કી રોટેશન અને બદલી એ પ્રબંધનનો ભાગ બની જાય છે, અને તે મશીનની જેમ જ એક જ સમયગાળામાં નિષ્ફળ જાય છે. વિવિધ નેટવર્ક પરના થોડા લાંબાયુષ્યવાળા હોસ્ટ માટે તે ઘણી વાર યોગ્ય હોય છે, અને જે ફ્લીટ કોઈ ઇમેજ ક્યાં ચાલે છે તેનો હિસાબ પહેલેથી ગુમાવી ચૂકી હોય તેના માટે ભાગ્યે જ.
દરેક વિકલ્પ હેઠળ ઓળખ ઇશ્યુ કરવા, અપડેટ, પ્રવેશ દૂર કરવા, દેખરેખ અને પુનઃપ્રાપ્તિ માટે ભૂમિકા નામ આપો. પછી પૂછો કે જે દિવસે એક ગ્રાહક જાય ત્યારે શું થાય.
નિવૃત્તિ સરખામણીનો ભાગ છે
મોટા ભાગની સરખામણીઓ નિવૃત્તિ છોડી દે છે. ટેનન્ટ દૂર કરવાથી તેના ઓળખપત્રો અમાન્ય થવા જોઈએ, તેની નીતિ પડવી જોઈએ, તેનાં સરનામાં અને રાઉટિંગ સ્થિતિ મુક્ત થવી જોઈએ અને બાકીના સૌ અસ્પૃશ્ય રહેવા જોઈએ. NIST ની શૂન્ય-વિશ્વાસ આર્કિટેક્ચર માર્ગદર્શિકા અહીં યોગ્ય સંદર્ભ છે, કારણ કે તે નેટવર્ક સ્થિતિ પર ભરોસો મૂકવાને બદલે પ્રમાણીકરણ અને અધિકૃતિ સંસાધન પર મૂકે છે, અને તે ગ્રાહકના પોતાના સેગમેન્ટની અંદર પણ લાગુ પડે છે.
પ્રોટોકોલ બેન્ચમાર્ક તોળતા પહેલાં મંજૂર અને નકારેલા પ્રવાહો, ઓવરલેપિંગ સરનામાંઓની સંભાળ અને નિવૃત્તિ પ્રક્રિયા તોળો. પછી તમે પસંદ કરેલી સીમા સાથે મેળ ખાતી પરિવહન અને પ્રમાણીકરણ પદ્ધતિ પસંદ કરો. જૂનું ઉત્પાદન નામ, અથવા દરેક વ્યવસાયે એક જ પ્રોટોકોલ પર માનકીકરણ કરવું જોઈએ એવો દાવો, એમાંથી કંઈ પણ નક્કી કરતો નથી. પહેલાં લખેલો નકશો તે કરે છે.