Þarftu enn staðarnet VPN þegar appið notar mTLS og SSO?
Farðu í gegnum rásirnar sem innskráning appsins þíns nær aldrei yfir, og ákvarðaðu síðan hvort aðgangur að einkaneti sé óþarfur eða enn eina leiðin að hýsilnum.
Þú skráir þig inn með mTLS, stjórnborðið hleðst og fullyrðingin um að staðarnet VPN sé nú óþarft hljómar sanngjörn um það bil eins lengi og það tekur að þurfa að endurheimta gagnagrunn klukkan tvö að nóttu. TLS-mörk appsins lýsa einni rás. Hýsillinn, gagnagrunnurinn, afritunarmarkið og skýjareikningurinn bera hver sína inngönguleið, sína auðkenningu og sinn samþykkjanda, og ekkert þeirra er æft með árangursríkri innskráningu.
Gakktu út frá innskráningarskjánum
Skráðu þig inn eins og venjulegur notandi og skrifaðu niður hvert stökk sem beiðnin snertir: vafri, jaðar, hlustandi appsins, setugagnageymsla, bakenda-API. Hvert stökk hefur eiganda og auðkenningarákvörðun. Endurtaktu nú gönguna fyrir þann sem plástar hýsilinn og fyrir verkið sem skrifar næturöryggisafritið. Þessar göngur greinast venjulega þegar á fyrsta stökkinu.
Þessi greining er spurningin sem er þess virði að svara. Staðarnet VPN er aðeins óþarft þegar hver rás í þeirri seinni göngu hefur inngöngu- og heimildarstefnu sem stendur ein og sér.
Fimm rásir sem innskráning appsins nær aldrei yfir
Taflan hér að neðan er birgðasniðmát, ekki gátlisti fyrir uppsetningu. Fylltu annan dálkinn með því sem þitt eigið umhverfi framfylgir í raun í dag.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
Deiling auðkennisveitanda sameinar ekki þessar heimildir. Notandi sem má senda API-beiðni er ekki þar með heimilaður að skipta um VM-disk eða endurheimta gagnagrunn með skilríkjum appsins. NIST heldur í samantekt núlltraustsarkitektúrsins einmitt þess vegna auðkenningu og heimildum auðlinda aðskildum frá staðsetningu í netinu.
Stoðkerfisverkfræðingur sem getur lesið þjónustubeiðni er ekki þar með heimilaður að opna stjórnborð á hýsilnum fyrir aftan.
Leið er aðeins raunveruleg ef valkosturinn helst lokaður
Að takmarka aðgengi við einkarekin stjórnendahlustendur er lögmæt staðganga fyrir staðarnet VPN, að því tilskildu að takmörkuninni sé framfylgt og hún ekki bara teiknuð. Venjuleg mistök eru annar hlustandi sem enginn mundi eftir: þjónusta sem er enn bundin við allar tengingar, öryggishópregla sem var opnuð fyrir verktaka, stjórnport sem er aðgengilegt frá internetinu.
Athugaðu hlustendur frekar en skýringarmyndir. Á hýsilnum skaltu skrá hvað er í raun bundið með ss -ltnp og staðfesta að stjórnportin séu á einkaaðsetri. Í skýjastjórnborðinu skaltu lesa komureglur fyrir vinnuálagsundirnetið og leita að 0.0.0.0/0 á öllu stjórnendalegu. Prófaðu síðan tenginguna utan einkaleiðarinnar, því sú prófun er sú sem svarar spurningunni.
Ein opin regla gagnvart heiminum á SSH gerir öll rök tunnelhönnunarinnar að engu.
Skrifaðu kortið áður en þú berð saman hönnun
Fyrir hverja línu birgðanna skaltu skrá hver samþykkir auðkenni, hver uppfærir aðgangsreglurnar, hver fjarlægir skilríki þegar einhver hættir og hver sér um endurheimt þegar leiðin sjálf brestur. Fjögur nöfn á línu nægja til að afhjúpa línurnar þar sem svarið er sameiginlegur reikningur og þriggja ára gömul wiki-síða.
Staðfestu síðan eitt leyfi og eina synjun fyrir hverja rás. Leyfi sannar að ætlað auðkenni geti náð auðlindinni um ætluðu leiðina. Synjun sannar að svipað auðkenni geti það ekki, og það er prófið sem fólk sleppir, og þess vegna lifa aðrir hlustendur af endurskoðanir. Berðu saman fyrirhugaða hönnun við þessar niðurstöður, ekki við TLS-stillingu appsins, sem æfði aldrei neina þeirra.
Þar sem staðarnet VPN á enn skilið sess
Tunnill eða þröng hlið er rétta svarið þegar auðlind hefur ekki sína eigin auðkenningu fyrir hverja beiðni: viðhaldsport gagnagrunna, afritunarmörk, stjórnborð ofurtölvu, stjórnun utan bands. Þessir hlustendur treysta netinu, svo netið verður að vera það sem auðkennir kallandann.
Það er ekki eina svarið. Hlið sem lýkur heimild fyrir hverja auðlind getur verið þrengra en tunnill yfir allt undirnetið og skilur eftir betri endurskoðunarslóð en sameiginlegur stökkshýsill.
Vinnuröð: kláraðu birgðirnar, lokaðu valkostunum, staðfestu eina synjun fyrir hverja línu og dragðu tunnilinn aðeins þá til baka. Ef lína getur ekki framleitt synjun skaltu halda einkaleiðinni þar til hún getur.