जब ऐप mTLS और SSO इस्तेमाल करता है, तो क्या आपको अब भी साइट VPN चाहिए?
उन चैनलों से गुज़रें जिन्हें आपका ऐप लॉगिन कभी नहीं ढकता, फिर तय करें कि निजी नेटवर्क तक पहुँच अनावश्यक है या अब भी मेज़बान तक का एकमात्र रास्ता है।
आप mTLS से साइन इन करते हैं, डैशबोर्ड लोड होता है, और यह दावा कि साइट VPN अब अनावश्यक है, लगभग तब तक उचित लगता है जब तक रात दो बजे डेटाबेस बहाल करने की ज़रूरत न पड़े। ऐप की TLS सीमा केवल एक चैनल का वर्णन करती है। मेज़बान, डेटाबेस, बैकअप लक्ष्य और क्लाउड खाता, हर एक का अपना प्रवेश मार्ग, अपनी पहचान और अपना अनुमोदक है, और इनमें से किसी को भी सफल लॉगिन से नहीं जाँचा जाता।
लॉगिन स्क्रीन से बाहर की ओर चलें
एक आम उपयोगकर्ता की तरह साइन इन करें और हर उस चरण को लिखें जिसे अनुरोध छूता है: ब्राउज़र, एज, एप्लिकेशन श्रोता, सत्र भंडार, बैकएंड API। हर चरण का एक स्वामी और एक प्रमाणीकरण निर्णय होता है। अब मेज़बान को पैच करने वाले व्यक्ति के लिए, और रात का बैकअप लिखने वाले काम के लिए यह चलना दोहराएँ। ये यात्राएँ आमतौर पर पहले ही चरण पर अलग हो जाती हैं।
यही अलगाव वह सवाल है जिसका उत्तर देना लायक है। साइट VPN केवल तब अनावश्यक होता है जब उस दूसरी यात्रा के हर चैनल के पास अपनी अलग प्रवेश और प्राधिकरण नीति हो जो अपने आप खड़ी हो।
पाँच चैनल जिन्हें ऐप लॉगिन कभी नहीं ढकता
नीचे दी गई तालिका एक सूची टेम्पलेट है, परिनियोजन जाँचसूची नहीं। दूसरा स्तंभ उससे भरें जो आपका अपना वातावरण आज वास्तव में लागू करता है।
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
एक ही पहचान प्रदाता साझा करने से ये प्राधिकरण एक नहीं हो जाते। जो उपयोगकर्ता API अनुरोध भेज सकता है, उसे इससे VM डिस्क बदलने या ऐप के क्रेडेंशियल से डेटाबेस बहाल करने का अधिकार नहीं मिलता। NIST शून्य-विश्वास वास्तुकला सारांश में ठीक इसी कारण संसाधन प्रमाणीकरण और प्राधिकरण को नेटवर्क स्थान से अलग रखता है।
जो सहायता इंजीनियर टिकट पढ़ सकता है, उसे इससे उसके पीछे के मेज़बान पर कंसोल खोलने का अधिकार नहीं मिलता।
रास्ता तभी वास्तविक है जब विकल्प बंद रहे
निजी प्रशासनिक श्रोताओं तक पहुँच सीमित करना साइट VPN का वैध विकल्प है, बशर्ते सीमा लागू की जाए, केवल खींची न जाए। आम विफलता वह वैकल्पिक श्रोता है जिसे किसी ने याद नहीं रखा: सभी इंटरफ़ेस से बँधी सेवा, ठेकेदार के लिए खोला गया सुरक्षा समूह नियम, इंटरनेट से पहुँचने योग्य प्रबंधन पोर्ट।
आरेख नहीं, श्रोताओं की जाँच करें। मेज़बान पर ss -ltnp से सूची बनाएँ कि वास्तव में क्या बँधा है और पुष्टि करें कि प्रशासनिक पोर्ट निजी पते पर हैं। क्लाउड कंसोल में कार्यभार उपजाल के आवक नियम पढ़ें और किसी भी प्रशासनिक चीज़ पर 0.0.0.0/0 खोजें। फिर निजी मार्ग के बाहर से कनेक्शन आज़माएँ, क्योंकि वही परीक्षण इस सवाल का उत्तर देता है।
SSH पर एक भी विश्व-खुला नियम टनल डिज़ाइन के हर तर्क को रद्द कर देता है।
डिज़ाइन की तुलना से पहले नक्शा लिखें
सूची की हर पंक्ति के लिए दर्ज करें कि कौन पहचान स्वीकृत करता है, कौन पहुँच नियम अपडेट करता है, किसी के जाने पर कौन क्रेडेंशियल हटाता है, और मार्ग के टूटने पर कौन बहाली संभालता है। हर पंक्ति में चार नाम उन पंक्तियों को उजागर करने के लिए पर्याप्त हैं जहाँ उत्तर साझा खाता और तीन साल पुराना विकी पृष्ठ है।
फिर हर चैनल के लिए एक अनुमति और एक अस्वीकृति सत्यापित करें। अनुमति सिद्ध करती है कि इच्छित पहचान इच्छित मार्ग से संसाधन तक पहुँच सकती है। अस्वीकृति सिद्ध करती है कि समान पहचान नहीं पहुँच सकती, और यही वह परीक्षण है जिसे लोग छोड़ देते हैं, इसीलिए वैकल्पिक श्रोता ऑडिट में बच जाते हैं। प्रस्तावित डिज़ाइन की तुलना इन परिणामों से करें, ऐप के TLS कॉन्फ़िगरेशन से नहीं, जिसने इनमें से कोई भी कभी नहीं जाँचा।
कहाँ साइट VPN अब भी अपनी जगह कमाता है
टनल या संकीर्ण गेटवे तब सही उत्तर है जब किसी संसाधन के पास प्रति-अनुरोध अपना प्रमाणीकरण न हो: डेटाबेस रखरखाव पोर्ट, बैकअप लक्ष्य, हाइपरवाइज़र कंसोल, आउट-ऑफ-बैंड प्रबंधन। वे श्रोता नेटवर्क पर भरोसा करते हैं, इसलिए नेटवर्क को ही कॉलर का प्रमाणन करना होगा।
यह एकमात्र उत्तर नहीं है। जो गेटवे प्रति-संसाधन प्राधिकरण समाप्त करता है वह पूरे उपजाल के टनल से संकीर्ण हो सकता है, और साझा जंप होस्ट से बेहतर ऑडिट ट्रेल छोड़ता है।
कार्य का क्रम: सूची पूरी करें, विकल्प बंद करें, हर पंक्ति के लिए एक अस्वीकृति सत्यापित करें, और उसके बाद ही टनल हटाएँ। यदि कोई पंक्ति अस्वीकृति उत्पन्न नहीं कर सकती, तो निजी मार्ग तब तक रखें जब तक कर न सके।