Þaрftu enn VPN ef þú notar Identity-Aware Proxy?

Forsendan er þessi: um leið og proxy sem þekkir auðkenni stendur fyrir framan innri forritin er VPN-ið aðeins skraut og biðlarinn getur farið. Það gildir fyrir eitt þröngt tilvik, gagnvirkt HTTPS-forrit sem einstaklingur notar í vafra, og mistekst hljóðlaust alls staðar annars staðar. Proxy heimilar beiðni gagnvart auðlind; VPN hleypir biðlara inn í netsvæði, og þessi tvö mörk falla sjaldan saman. Áður en þú lætur göng ganga úr sér, berðu saman aðgerðirnar sem fólkið þitt framkvæmir í raun, ekki vörumerkin á skýirmyndinni.

Hliðin tvö heimila ólík atriði

Forritshlið ákveður hvort þessi beiðni, frá þessu auðkenni, megi ná þessari varðveittu auðlind. Yfirlit Identity-Aware Proxy frá Google lýsir nákvæmlega þessu formi: miðlægri heimildarlögn fyrir framan HTTPS-forrit, stýrt af IAM-hlutverki. Markið er auðlindin, og eining aðgangsins er beiðnin. Beint VPN gerir eitthvað grófara og víðtækara: það hleypir biðlara inn í skilgreint netsvæði, og eftir það ákveður forritið enn hvað sá biðlari má.

Ekkert líkananna felur hitt í sér. Að komast í gegnum hlið segir ekkert um að lesa tiltekna færslu, og að vera á netinu segir ekkert um leyfi til að bregðast við.

Það sem proxy nær ekki yfir, og VPN nær yfir

SSH-lotur, gagnagrunnsbiðlarar, skilaboðamiðlarar og innri hýsitölur sem enginn vafri opnar nokkurn tíma verða ekki aðgengileg bara af því að vefproxy er til. Hvert þessara talar eigin prótókol, og hvert þessara þarf annaðhvort eigin staðfesta slóð eða net sem ber það. Það er bilið sem fólk uppgötvar fyrsta dag flutnings, venjulega frá bakvaktarverkfræðingi með fartölvu sem getur ekki lengur leyst hýsitölu.

Öfuga bilið er jafn raunverulegt. VPN sem hleypir biðlara inn í undirnet staðfestir ekki manneskjuna inni í því, og sýkt tæki á því undirneti erfir allt sem netið leyfir. Ef krafan er heimild fyrir hverja beiðni með auðkenni sem hægt er að endurskoða getur leiðsögn ein og sér ekki framleitt hana. Flest skipulög enda á að reka bæði, og áhugaverða spurningin er hvaða auðlindum hvoru þeirra er leyft að standa fyrir.

Vinnuflæði biðlarans ræður meira en arkitektúrskýirmyndin

Innskráning í vafra með endursendingu og stöku MFA-áskorun er góð upplifun fyrir manneskju sem smellir á bókamerki. Cron-verk, CLI eða byggingarþjónn hefur engan vafra og getur ekki svarað gagnvirkri beiðni, svo það þarf skjalfesta ógagnvirka slóð eða göngin. Uppgötvun þessarar kröfu gerist venjulega eftir að hönnunin er samþykkt.

Teldu biðlarana áður en þú telur forritin. Eitt mælaborð getur þjónað hundrað manns; ein gagnagrunnshlið getur stöðvað heilt teymi.

Staða tækisins er ekki eiginleiki hvors hliðsins

Uppsetning VPN-biðlara er ekki samræmisathugun, og vafradrifin hönnun er ekki sjálfkrafa ófær um að virða stefnu um stýrð tæki. Bæði geta samþeð stöðumerki, og bæði er hægt að setja upp án þeirra. Spurðu hvaða framfylgd er til staðar, hver á stefnuna og hvað verður um tæki sem bregst, í stað þess að draga það af lögun vörunnar.

Sama varúð á við um að fjarlægja aðgang. Að eyða hópmeðlimi í proxynu og afturkalla skírteini fyrir göngin eru mismunandi aðgerðir með mismunandi töf, og önnur þeirra gleymist venjulega við starfslok.

Finndu aðrar leiðir áður en þú lætur eitthvað ganga úr sér

Óvarin uppruni bak við proxynu, annað hýsitöl sem fer fram hjá henni, eða breið einkaleið sem eftir er frá fyrri hönnun munu ákveða hvaða hlið er í raun í gildi. Prófaðu leyfða aðgerð og synjaða í gegnum raunverulega biðlarann, ekki í gegnum stjórnborðið, og prófaðu þær frá tæki sem hefur aldrei verið skráð. Synjaða tilvikið er það sem segir þeér hvort hliðið gerir nokkuð yfirleitt.

Skrifaðu síðan afhendinguna: skráningu, uppfærslur, fjarlægingu aðgangs og endurheimtarslóð fyrir einhvern sem er læstur úti klukkan 2 að nóttu. Að fjarlægja beiðni eða biðlaraforrit færir ábyrgð milli teyma; það eyðir ekki ábyrgðinni.

Ef þú ákveður í þessari viku, byrjaðu á lista yfir aðgerðir frekar en lista yfir vörur, merktu hverjar vafri getur framkvæmt, og láttu afganginn réttlæta þann netaðgang sem lifir.