Բազմավարձակալ VPN՝ ընդհանուր գեյթուեյ, վարձակալի կամ հոսթի հաշվով
Թունելը վարձակալների մեկուսացում չէ։ Համեմատեք ընդհանուր գեյթուեյը, վարձակալի հաշվով գեյթուեյները և հոսթի հաշվով միացումները ինքնության քարտեզագրման, երթուղման և դուրսբերման առումով։
Որոշեք, թե ով է թույլ տալիս հաճախորդին և ինչն է խանգարում այդ հաճախորդին հասնել մեկ այլ վարձակալի ռեսուրսներին։ Սրանք երկու որոշում են, և IPsec-ի, WireGuard-ի կամ mesh արտադրանքի ընտրությունը ոչ մեկին չի պատասխանում։ Անթերի բարձրացող թունելը դեռ կարող է թողնել, որ յուրաքանչյուր վարձակալ հասնի բոլոր մյուսներին, իսկ երկուսը նույն բանը համարող վերանայումը հաստատում է սխալ նախագիծը։ Սկզբում գրեք հաճախորդ-ռեսուրս քարտեզը՝ ադմինիստրատորներ, աջակցության մուտք, ընդհանուր ծառայություններ և ուղիներ, որոնք պետք է մնան արգելված։
Սկսեք քարտեզից, ոչ թե արտադրանքից
Այդ քարտեզն առաջին փաստաթուղթն է, և ներքևի յուրաքանչյուր ընտրություն միայն որոշում է այն սահմանի տեղի մասին, որը կիրառում է այն։ Պահեք այն վերանայելի՝ մեկ տող յուրաքանչյուր հաճախորդի համար, մեկ տող յուրաքանչյուր ընդհանուր ծառայության համար և արգելված ուղիները գրված։
Քարտեզը, որը ոչ ոք չի կարող կարդալ, քարտեզ է, որը ոչ ոք չի կիրառի։
Մեկ մուտքի կետ և դրա քարտեզագրման խնդիրը
Յուրաքանչյուր տեղաբաշխում որոշվում է մեկ գործառնական հարցով, և աղյուսակը ողջ համեմատությունն է։
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Ընդհանուր գեյթուեյը կենտրոնացնում է մուտքը և ռիսկը հավաքում մեկ տեղում՝ վարձակալի ինքնության և նրա քաղաքականության կապը։ Խմբերը կամ թունելի հասցեները պետք է վերածվեն ճիշտ ռեսուրսային թույլտվությունների, և յուրաքանչյուր հաճախորդի համար տարբեր պիտակ ինքնին ոչինչ չի կանխում։ Առանձին երթուղային համատեքստերը կարող են պահել համընկնող նախածանցներ, երբ հարթակը դա աջակցում է, և նախագիծը ամբողջական է։ Սովորական ընդհանուր երթուղային աղյուսակը չի կարող տարբերել երկու նույնական նպատակակետ նախածանց միայն այն պատճառով, որ դրանց հետևում գտնվող մարդիկ տարբեր հաշիվներ ունեն։
Սա է փորձությունը նախագծերի մեծ մասի համար։ Երկու վարձակալ, որոնք ներքուստ համարակալում են 10.0.0.0/8-ով, պետք է ունենան առանձին երթուղային վիճակ, ոչ թե անվանման կանոն։
Վարձակալի հաշվով գեյթուեյը գնում է սահմաններ և համակարգեր
Մեկ գեյթուեյ յուրաքանչյուր հաճախորդի համար հեշտացնում է որոշ վարչական սահմանների բացատրությունը, որովհետև այդ հաճախորդի մուտքն ու քաղաքականությունը միասին են։ Այն նաև բազմապատկում է այն համակարգերը, որոնք կարիք ունեն հավատարմագրերի, կարկատանների, մոնիտորինգի և տիրոջ։ Եվ այն չի պարտադրում հանրային հասցեների մեկ սահմանված դասավորություն՝ վերջնակետերի համօգտագործումը, թարգմանությունը և արձանագրությունների ապամուլտիպլեքսավորումը կախված են նրանից, թե ինչին է իրականում աջակցում ներդրումը։
Հաշվեք համակարգերն ու մարդկանց, նախքան անվտանգության շահույթը հաշվելը։ Թիմի կարկատելու հնարավորությունից չորս ավելի գեյթուեյ ունեցող նախագիծը գործնականում ավելի մեկուսացված չէ։
Եթե վարձակալների թիվը փոխվում է ամեն ամիս, այդ մոդելին պետք է ավտոմատացման պատմություն, ոչ թե ձևանմուշ։
Հոսթի հաշվով միացումները տեղափոխում են աշխատանքը
Յուրաքանչյուր հոսթավորված մեքենայի վրա միացումը չի վերացնում գործառնական աշխատանքը, այն տեղափոխում է մեքենայի կյանքի ցիկլ։ Գրանցումը, մեքենայի հաշվով քաղաքականությունը, բանալիների պտույտը և փոխարինումը դառնում են տրամադրման մաս, և դրանք ձախողվում են նույն պատուհանում, ինչ մեքենան ինքը։ Տարբեր ցանցերում երկարակյաց հոսթերի փոքր թվի համար դա հաճախ ճիշտ է, իսկ այն պարկի համար, որն արդեն կորցրել է հաշիվը, թե որ պատկերն որտեղ է աշխատում, հազվադեպ։
Անվանեք դեր ինքնության տրամադրման, թարմացումների, մուտքի հեռացման, մոնիտորինգի և վերականգնման համար յուրաքանչյուր տարբերակում։ Ապա հարցրեք, թե ինչ է լինում այն օրը, երբ մեկ հաճախորդ հեռանում է։
Դուրսբերումը համեմատության մաս է
Համեմատությունների մեծ մասը բաց է թողնում դուրսբերումը։ Վարձակալի հեռացումը պետք է անվավեր դարձնի նրա հավատարմագրերը, գցի նրա քաղաքականությունը, ազատի նրա հասցեներն ու երթուղային վիճակը և մնացած բոլորին թողնի անձեռնմխելի։ NIST-ի զրո վստահության ճարտարապետության ուղեցույցը այստեղ ճիշտ հղումն է, որովհետև այն նույնականացումն ու լիազորումը դնում է ռեսուրսի վրա՝ ցանցային դիրքին վստահելու փոխարեն, և դա վերաբերում է նաև հաճախորդի սեփական հատվածի ներսում։
Կշռեք թույլատրված և արգելված հոսքերը, համընկնող հասցեների հետ վարվելը և դուրսբերման ընթացակարգը, նախքան արձանագրությունների չափանիշները կշռելը։ Ապա ընտրեք տրանսպորտ և նույնականացման մեթոդ, որոնք համապատասխանում են ձեր ընտրած սահմանին։ Ավելի հին ապրանքանունը կամ այն պնդումը, թե յուրաքանչյուր բիզնես պետք է ստանդարտացվի մեկ արձանագրության վրա, ոչինչ չի լուծում դրանից։ Առաջինը գրված քարտեզը լուծում է։