Szüksége van még VPN-re, ha Identity-Aware Proxyt használ?

A feltevés így szól: amint egy identitást ismerő proxy a belső alkalmazások elé kerül, a VPN csak díszlet, és a kliens mehet. Ez egyetlen szűk esetre igaz, egy interaktív HTTPS-alkalmazásra, amelyet egy személy böngészőben használ, és minden más helyen csendben megbukik. Egy proxy egy kérést engedélyez egy erőforrással szemben; egy VPN beengedi a klienst egy hálózati hatókörbe, és a két határ ritkán esik egybe. Mielőtt kivon egy alagutat a használatból, hasonlítsa össze azokat a műveleteket, amelyeket a munkatársai valóban elvégeznek, nem a diagramon szereplő termékcímkéket.

Két kapu két különböző dolgot engedélyez

Egy alkalmazáskapu eldönti, hogy ez a kérés ettől az identitástól elérheti-e ezt a védett erőforrást. A Google Identity-Aware Proxy áttekintése pontosan ezt a formát írja le: központi engedélyezési réteg a HTTPS-alkalmazások előtt, amelyet egy IAM-szerepkör irányít. A határ az erőforrás, a hozzáférés egysége pedig a kérés. Egy irányított VPN valami durvábbat és szélesebbet tesz: beengedi a klienst egy meghatározott hálózati hatókörbe, utána az alkalmazás még mindig eldönti, mit tehet ez a kliens.

Egyik modell sem feltételezi a másikat. A kapun átjutás semmit sem mond egy adott rekord olvasásáról, és a hálózaton lenni semmit sem mond a cselekvés engedélyéről.

Amit a proxy nem fed le, és amit a VPN lefed

Az SSH-munkamenetek, adatbázis-kliensek, üzenetközvetítők és belső hosztnevek, amelyeket egyetlen böngésző sem nyit meg, nem válnak elérhetővé attól, hogy létezik egy webes proxy. Mindegyik a saját protokollján beszél, és mindegyiknek vagy saját hitelesített útvonalra van szüksége, vagy egy hálózatra, amely hordozza. Ez az a rés, amelyet az emberek egy migráció első napján fedeznek fel, általában egy ügyeletes mérnöktől, akinek a laptopja már nem old fel egy hosztnevet.

A fordított rés ugyanolyan valós. Egy VPN, amely beengedi a klienst egy alhálózatba, nem hitelesíti a benne lévő személyt, és az alhálózaton lévő feltört eszköz örökli, amit a hálózat megenged. Ha a követelmény kérésenkénti engedélyezés ellenőrizhető identitással, az útválasztás önmagában nem tudja előállítani. A legtöbb szervezet végül mindkettőt üzemelteti, és az érdekes kérdés az, hogy mely erőforrások elé melyik állhat.

A kliens munkafolyamata többet dönt, mint az architektúradiagram

A böngészős bejelentkezés átirányítással és alkalmi MFA-kihívással jó élmény annak, aki egy könyvjelzőre kattint. Egy cron-feladatnak, egy CLI-nek vagy egy build-ügynöknek nincs böngészője, és nem tud interaktív kérésre válaszolni, ezért dokumentált nem interaktív útvonalra vagy az alagútra van szüksége. Ennek a követelménynek a felfedezése általában a tervezés jóváhagyása után történik.

Számolja meg a klienseket, mielőtt az alkalmazásokat számolná. Egy irányítópult száz embert szolgálhat ki; egy adatbázisport egy egész csapatot blokkolhat.

Az eszköz állapota egyik kapu tulajdonsága sem

A VPN-kliens telepítése nem megfelelőségi ellenőrzés, és egy böngészőalapú tervezés nem automatikusan képtelen tiszteletben tartani a felüyelt eszközök szabályzatát. Mindkettő integrálható állapotjelekkel, és mindkettő telepíthető azok nélkül. Kérdezze meg, milyen kényszerítés létezik, kié a szabályzat, és mi történik egy azt megsértő eszközzel, ahelyett hogy a termék formájából következtetne rá.

Ugyanez az óvatosság érvényes a hozzáférés visszavonására. Egy csoporttagság törlése a proxyban és egy tanúsítvány visszavonása az alagúthoz különböző késleltetésű, különböző műveletek, és az egyiket általában elfelejtik a kilépés során.

Találja meg az alternatív útvonalakat, mielőtt bármit kivon a használatból

A proxy mögötti védtelen eredet, egy azt megkerülő második hosztnév vagy egy korábbi tervezésből maradt széles privát útvonal dönti el, melyik kapu van ténylegesen érvényben. Tesztelje az engedélyezett és a megtagadott műveletet a valódi kliensen keresztül, ne a konzolon, és tesztelje őket egy soha nem regisztrált eszközről. A megtagadott eset az, amely megmondja, hogy a kapu egyáltalán tesz-e valamit.

Ezután írja meg az átadást: regisztráció, frissítések, hozzáférés visszavonása és a helyreállítási útvonal annak, akit hajnali 2-kor kizártak. Egy utasítás vagy egy kliensalkalmazás eltávolítása felelősséget helyez át a csapatok között; nem törli a felelősséget.

Ha ezen a héten dönt, műveletek listájából induljon ki termékek listája helyett, jelölje meg, melyeket tud egy böngésző elvégezni, és hagyja, hogy a többi igazolja a fennmaradó hálózati hozzáférést.