अगर आप Identity-Aware Proxy इस्तेमाल करते हैं तो क्या आपको अब भी VPN चाहिए?

धारणा ऐसी है: जैसे ही पहचान जानने वाला प्रॉक्सी आंतरिक ऐप्स के सामने आता है, VPN केवल सजावट रह जाता है और क्लाइंट जा सकता है। यह एक संकीर्ण मामले के लिए सच है — ब्राउज़र में किसी व्यक्ति द्वारा इस्तेमाल किया जाने वाला इंटरैक्टिव HTTPS ऐप — और बाकी हर जगह चुपचाप विफल हो जाता है। प्रॉक्सी किसी संसाधन के विरुद्ध अनुरोध को अधिकृत करता है; VPN क्लाइंट को नेटवर्क क्षेत्र में प्रवेश देता है, और ये दो सीमाएं शायद ही कभी मेल खाती हैं। किसी टनल को सेवानिवृत्त करने से पहले, उन कार्यों की तुलना करें जो आपके लोग वास्तव में करते हैं, आरेख पर लिखे उत्पाद नामों की नहीं।

दोनों गेट अलग-अलग वस्तुओं को अधिकृत करते हैं

एप्लिकेशन गेट तय करता है कि यह अनुरोध, इस पहचान से, इस संरक्षित संसाधन तक पहुंच सकता है या नहीं। Google का Identity-Aware Proxy अवलोकन ठीक यही स्वरूप बताता है: HTTPS ऐप्लिकेशनों के सामने एक केंद्रीय प्राधिकरण परत, जिसे IAM भूमिका चलाती है। सीमा संसाधन है, और पहुंच की इकाई अनुरोध है। रूटेड VPN कुछ अधिक मोटा और व्यापक करता है: यह क्लाइंट को परिभाषित नेटवर्क क्षेत्र में प्रवेश देता है, जिसके बाद ऐप्लिकेशन अब भी तय करता है कि वह क्लाइंट क्या कर सकता है।

दोनों में से कोई मॉडल दूसरे को निहित नहीं करता। गेट पार करना किसी विशेष रिकॉर्ड को पढ़ने के बारे में कुछ नहीं कहता, और नेटवर्क पर होना कार्य करने की अनुमति के बारे में कुछ नहीं कहता।

प्रॉक्सी क्या कवर नहीं करता, और VPN कवर करता है

SSH सत्र, डेटाबेस क्लाइंट, संदेश ब्रोकर और आंतरिक होस्टनाम जिन्हें कोई ब्राउज़र कभी नहीं खोलता, वे वेब प्रॉक्सी होने भर से सुलभ नहीं हो जाते। प्रत्येक अपना प्रोटोकॉल बोलता है, और प्रत्येक को या तो अपना प्रमाणित मार्ग चाहिए या वह नेटवर्क जो उसे ढोता है। यही वह अंतराल है जो लोग माइग्रेशन के पहले दिन खोजते हैं, आमतौर पर एक ऑन-कॉल इंजीनियर से जिसका लैपटॉप अब होस्टनाम हल नहीं कर सकता।

उल्टा अंतराल भी उतना ही वास्तविक है। जो VPN क्लाइंट को सबनेट में प्रवेश देता है, वह उसके भीतर के व्यक्ति को प्रमाणित नहीं करता, और उस सबनेट पर समझौता किया गया उपकरण नेटवर्क जो अनुमति देता है वह सब विरासत में लेता है। यदि आवश्यकता लेखा-योग्य पहचान के साथ प्रति-अनुरोध प्राधिकरण है, तो केवल रूटिंग उसे नहीं दे सकती। अधिकांश संगठन अंतत: दोनों चलाते हैं, और दिलचस्प सवाल यह है कि किन संसाधनों के सामने किसे खड़े होने की अनुमति है।

क्लाइंट वर्कफ़्लो आर्किटेक्चर आरेख से अधिक तय करता है

रीडायरेक्ट और कभी-कभी MFA चुनौती के साथ ब्राउज़र साइन-इन उस व्यक्ति के लिए अच्छा अनुभव है जो बुकमार्क पर क्लिक करता है। cron जॉब, CLI या बिल्ड एजेंट के पास ब्राउज़र नहीं होता और वह इंटरैक्टिव प्रॉम्प्ट का उत्तर नहीं दे सकता, इसलिए उसे प्रलेखित गैर-इंटरैक्टिव मार्ग या टनल चाहिए। उस आवश्यकता की खोज आमतौर पर डिज़ाइन मंजूर होने के बाद होती है।

ऐप्लिकेशन गिनने से पहले क्लाइंट गिनें। एक डैशबोर्ड सौ लोगों की सेवा कर सकता है; एक डेटाबेस पोर्ट पूरी टीम को अवरोधित कर सकता है।

उपकरण की स्थिति किसी भी गेट का गुण नहीं है

VPN क्लाइंट स्थापित करना अनुपालन जांच नहीं है, और ब्राउज़र-आधारित डिज़ाइन स्वत: ही प्रबंधित-उपकरण नीति का पालन करने में असमर्थ नहीं होता। दोनों स्थिति संकेतों के साथ एकीकृत हो सकते हैं, और दोनों उनके बिना तैनात किए जा सकते हैं। पूछें कि कौन-सा प्रवर्तन मौजूद है, नीति किसकी है और उसे विफल करने वाले उपकरण का क्या होता है, उत्पाद के आकार से अनुमान लगाने के बजाय।

यही सावधानी पहुंच हटाने पर भी लागू होती है। प्रॉक्सी में समूह सदस्यता हटाना और टनल के लिए प्रमाणपत्र रद्द करना अलग-अलग देरी वाले अलग कार्य हैं, और उनमें से एक आमतौर पर जाने समय भुला दिया जाता है।

कुछ भी सेवानिवृत्त करने से पहले वैकल्पिक रास्ते खोजें

प्रॉक्सी के पीछे का असुरक्षित मूल, उसे बचाने वाला दूसरा होस्टनाम, या पुराने डिज़ाइन से बचा हुआ चौड़ा निजी मार्ग तय करेगा कि वास्तव में कौन-सा गेट लागू है। अनुमत कार्य और अस्वीकृत कार्य को वास्तविक क्लाइंट के माध्यम से जांचें, कंसोल के माध्यम से नहीं, और उन्हें ऐसे उपकरण से जांचें जो कभी नामांकित नहीं हुआ। अस्वीकृत मामला ही आपको बताता है कि गेट कुछ कर रहा है या नहीं।

फिर हंडऑफ़ लिखें: नामांकन, अद्यतन, पहुंच हटाना और रात 2 बजे बाहर ताला लगे व्यक्ति के लिए पुनर्प्राप्ति मार्ग। एक प्रॉम्प्ट या क्लाइंट ऐप हटाना जिम्मेदारी को टीमों के बीच स्थानांतरित करता है; वह जिम्मेदारी मिटाता नहीं।

यदि आप इस सप्ताह निर्णय ले रहे हैं, तो उत्पादों की सूची के बजाय संचालनों की सूची से शुरू करें, चिह्नित करें कि ब्राउज़र कौन-से कर सकता है, और बाकी को टिकने वाली नेटवर्क पहुंच को न्यायसंगत ठहराने दें।