Többbérlős VPN: közös átjáró, bérlőnként vagy gazdagépenként
Az alagút nem bérlőizoláció. Hasonlítsa össze a közös átjárót, a bérlőnkénti átjárókat és a gazdagépenkénti kapcsolatokat az identitásleképezés, az útválasztás és a kivezetés szempontjából.
Döntse el, ki enged be egy ügyfelet, és mi akadályozza meg, hogy az az ügyfél egy másik bérlő erőforrásait elérje. Ez két döntés, és az IPsec, a WireGuard vagy egy mesh termék választása egyikre sem ad választ. Egy tökéletesen felálló alagút után is előfordulhat, hogy minden bérlő minden másikat elér, és az a felülvizsgálat, amely a kettőt ugyanannak tekinti, a rossz tervet hagyja jóvá. Először írja meg az ügyfél–erőforrás térképet: adminisztrátorok, támogatási hozzáférés, megosztott szolgáltatások és a tiltva maradó útvonalak.
A térképpel kezdje, ne a termékkel
Ez a térkép az első dokumentum, és minden lentebbi választás csak döntés arról, hol él a határ, amely érvényesíti. Tartsa áttekinthetőnek: egy soronként ügyfél, egy sor megosztott szolgáltatás, és a tiltott útvonalak kiírva.
Egy térkép, amelyet senki sem tud elolvasni, olyan térkép, amelyet senki sem fog érvényesíteni.
Egy belépési pont és annak leképezési problémája
Minden elhelyezést egyetlen üzemeltetési kérdés dönt el, és a táblázat a teljes összehasonlítás.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
A közös átjáró központosítja a belépést és egy helyre sűríti a kockázatot: a bérlő identitása és szabályzata közötti kapcsolatot. A csoportokat vagy alagútcímeket a helyes erőforrás-engedélyekre kell feloldani, és az ügyfelenkénti eltérő címke önmagában semmit sem akadályoz meg. A külön útválasztási környezetek átfedő előtagokat tarthatnak, ha a platform támogatja, és a terv teljes. Egy egyszerű közös útválasztási tábla nem tud két azonos cél-előtagot megkülönböztetni csak azért, mert a mögöttük lévő embereknek különböző fiókjuk van.
Ez a legtöbb terv próbája. Két bérlő, amelyek belsőleg 10.0.0.0/8 használatával számoznak, külön útválasztási állapotot igényel, nem elnevezési konvenciót.
A bérlőnkénti átjáró határokat és rendszereket vásárol
Egy ügyfelenkénti átjáró néhány adminisztratív határt könnyen elmagyarázhatóvá tesz, mert az adott ügyfél belépése és szabályzata együtt van. Ugyanakkor megsokszorozza azokat a rendszereket, amelyeknek hitelesítő adatokra, javításokra, megfigyelésre és tulajdonosra van szükségük. És nem kényszerít ki egyetlen előírt nyilvános címrendezést: a végpontmegosztás, a fordítás és a protokollok demultiplexelése attól függ, mit támogat valójában a megvalósítás.
Számolja meg a rendszereket és az embereket, mielőtt a biztonsági nyereséget számolja. Egy terv, amelyben négy átjáróval több van, mint amennyit a csapat javítani tud, a gyakorlatban nem elszigeteltebb.
Ha a bérlők száma havonta változik, annak a modellnek automatizálási történetre van szüksége, nem sablonra.
A gazdagépenkénti kapcsolatok áthelyezik a munkát
Egy kapcsolat minden hosztolt gépen nem szünteti meg az üzemeltetési munkát, hanem a gép életciklusába helyezi át. A regisztráció, a gépenkénti szabályzat, a kulcsrotáció és a csere a kiépítés részévé válik, és ugyanabban az ablakban hibáznak, mint maga a gép. Néhány hosszú életű gazdagépnél külön hálózatokon ez gyakran helyes, és egy olyan flottánál, amely már elvesztette a fonalat arról, melyik lemezkép hol fut, ritkán.
Nevezzen meg szerepet az identitáskiadásra, a frissítésekre, a hozzáférés eltávolítására, a megfigyelésre és a helyreállításra minden lehetőségnél. Aztán kérdezze meg, mi történik azon a napon, amikor egy ügyfél távozik.
A kivezetés az összehasonlítás része
A legtöbb összehasonlítás kihagyja a kivezetést. Egy bérlő eltávolítása érvénytelenítse a hitelesítő adatait, dobja el a szabályzatát, szabadítsa fel a címeit és útválasztási állapotát, és hagyjon mindenki mást érintetlenül. A NIST nulla bizalmon alapuló architektúra-irányelve itt a helyes hivatkozás, mert az azonosítást és a jogosítást az erőforrásra teszi a hálózati pozícióba vetett bizalom helyett, és ez az ügyfél saját szegmensén belül is érvényes.
Mérje fel az engedélyezett és tiltott folyamokat, az átfedő címek kezelését és a kivezetési eljárást, mielőtt a protokoll-mérőszámokat mérlegelné. Aztán válasszon olyan szállítást és hitelesítési módszert, amely illik a választott határhoz. Egy régebbi terméknév, vagy az az állítás, hogy minden vállalkozásnak egyetlen protokollra kell szabványosítania, ebből semmit sem dönt el. Az elsőként megírt térkép igen.