Apakah Anda masih memerlukan VPN jika memakai Identity-Aware Proxy?

Asumsinya begini: begitu proxy yang mengenal identitas berdiri di depan aplikasi internal, VPN hanyalah hiasan dan klien bisa pergi. Itu berlaku untuk satu kasus sempit, aplikasi HTTPS interaktif yang dipakai seseorang di peramban, dan gagal diam-diam di semua tempat lain. Proxy mengizinkan permintaan terhadap sumber daya; VPN mengizinkan klien masuk ke cakupan jaringan, dan kedua batas itu jarang bertemu. Sebelum memensiunkan terowongan, bandingkan operasi yang benar-benar dilakukan orang Anda, bukan label produk pada diagram.

Dua gerbang mengizinkan hal yang berbeda

Gerbang aplikasi memutuskan apakah permintaan ini, dari identitas ini, boleh mencapai sumber daya terlindungi ini. Ikhtisar Identity-Aware Proxy dari Google menjelaskan persis bentuk itu: lapisan otorisasi pusat di depan aplikasi HTTPS, yang dijalankan oleh peran IAM. Batasnya adalah sumber daya, dan unit aksesnya adalah permintaan. VPN terutek melakukan sesuatu yang lebih kasar dan lebih luas: ia mengizinkan klien masuk ke cakupan jaringan yang ditentukan, setelah itu aplikasi tetap memutuskan apa yang boleh dilakukan klien tersebut.

Tidak ada model yang menyiratkan yang lain. Melewati gerbang tidak mengatakan apa pun tentang membaca catatan tertentu, dan berada di jaringan tidak mengatakan apa pun tentang izin bertindak.

Apa yang tidak dicakup proxy, dan dicakup VPN

Sesi SSH, klien basis data, perantara pesan, dan nama host internal yang tidak pernah dibuka peramban mana pun tidak menjadi terjangkau karena ada proxy web. Masing-masing berbicara protokolnya sendiri, dan masing-masing membutuhkan jalur terautentikasi sendiri atau jaringan yang membawanya. Itulah celah yang ditemukan orang pada hari pertama migrasi, biasanya dari insinyur siaga yang laptopnya tidak lagi bisa menyelesaikan nama host.

Celah sebaliknya sama nyatanya. VPN yang mengizinkan klien masuk ke subnet tidak mengautentikasi orang di dalamnya, dan perangkat yang disusupi di subnet itu mewarisi apa pun yang diizinkan jaringan. Jika persyaratannya adalah otorisasi per permintaan dengan identitas yang dapat diaudit, perutean saja tidak dapat menghasilkannya. Sebagian besar organisasi akhirnya menjalankan keduanya, dan pertanyaan menariknya adalah sumber daya mana yang boleh berada di depan oleh masing-masing.

Alur kerja klien menentukan lebih dari diagram arsitektur

Masuk ke peramban dengan pengalihan dan tantangan MFA sesekali adalah pengalaman baik bagi orang yang mengklik markah. Tugas cron, CLI, atau agen build tidak punya peramban dan tidak bisa menjawab prompt interaktif, jadi ia memerlukan jalur non-interaktif yang terdokumentasi atau terowongan. Penemuan persyaratan itu biasanya terjadi setelah desain disetujui.

Hitung klien sebelum menghitung aplikasi. Satu dasbor bisa melayani seratus orang; satu porta basis data bisa memblokir seluruh tim.

Postur perangkat bukan properti salah satu gerbang

Memasang klien VPN bukan pemeriksaan kepatuhan, dan desain berbasis peramban tidak otomatis tidak mampu menghormati kebijakan perangkat terkelola. Keduanya dapat terintegrasi dengan sinyal postur, dan keduanya dapat diterapkan tanpanya. Tanyakan penegakan apa yang ada, siapa pemilik kebijakan, dan apa yang terjadi pada perangkat yang gagal, alih-alih menyimpulkannya dari bentuk produk.

Kehati-hatian yang sama berlaku untuk pencabutan akses. Menghapus keanggotaan grup di proxy dan mencabut sertifikat untuk terowongan adalah operasi berbeda dengan jeda berbeda, dan salah satunya biasanya terlupa saat offboarding.

Temukan jalur alternatif sebelum memensiunkan apa pun

Asal yang tidak terlindungi di belakang proxy, nama host kedua yang melewatinya, atau rute privat luas yang tersisa dari desain sebelumnya akan menentukan gerbang mana yang benar-benar berlaku. Uji operasi yang diizinkan dan yang ditolak melalui klien nyata, bukan melalui konsol, dan uji keduanya dari perangkat yang belum pernah terdaftar. Kasus yang ditolak itulah yang memberi tahu Anda apakah gerbang melakukan sesuatu.

Lalu tulis serah terima: pendaftaran, pembaruan, pencabutan akses, dan jalur pemulihan bagi seseorang yang terkunci di luar pada pukul 2 pagi. Menghapus prompt atau aplikasi klien memindahkan tanggung jawab antartim; itu tidak menghapus tanggung jawab.

Jika Anda memutuskan minggu ini, mulailah dari daftar operasi alih-alih daftar produk, tandai mana yang dapat dilakukan peramban, dan biarkan sisanya membenarkan akses jaringan yang bertahan.