პარტნიორთა VPN წვდომის ცენტრალიზაცია პარტნიორების გაერთიანების გარეშე

წინადადება გონივრულია: ხუთი პარტნიორული გვირაბი განაწილებული ათეულ ლეპტოპზე, კლიენტის ხუთი ვერსიის ნაკრები, ხუთი დახმარების სამსახურის სკრიპტი და ერთი ინჟინერი, რომელმაც იცის, როგორ ერწყმის ეს ყველაფერი. კონტროლირებადი წვდომის დონეზე გადატანა აგვარებს ბოლო წერტილების გაფანტვას. ის ასევე ქმნის ახალ ობიექტს თქვენს არქიტექტურაში, საერთო წვდომის სერვისს, რომელსაც ახლა საკუთარი ავტორიზაციის მოდელი სჭირდება, და ის მარცხი, რომელსაც ყველა არ აფასებს, არის ცენტრალური მოწყობილობა ყველა გვირაბით ჩართული, რომელიც ჩუმად იქცევა ტრანზიტულ ქსელად იმ ორგანიზაციებს შორის, რომლებსაც არასდროს დაუთანხმებიათ მეზობლობა. ეს რისკი დიზაინის არჩევანია და არა ის, რასაც აპარატურა თავისით აკეთებს. ქვემოთ მოცემული სამუშაო აჩვენებს, როგორ ვინარჩუნებ კომფორტს შემთხვევითი გვერდითი ეფექტის მიღების გარეშე.

დაიწყე ხელშეკრულებით, რომელიც ყველა პარტნიორმა უკვე მოაწერა ხელი

ნებისმიერ კონფიგურაციამდე დაადასტურე, რომ პარტნიორი საერთოდ უშვებს საერთო კარიბჭეს ან საიტის კავშირს. პირადი დისტანციური წვდომის ანგარიში, მოწყობილობის მდგომარეობის მოთხოვნა ან ინტერაქტიული MFA ნაკადი შეიძლება გადაუტანელი იყოს უყურადღებო საერთო გვირაბზე, და თანამშრომლების ერთი კოპირებული კლიენტის იდენტობის უკან შეკრება ის მოკლე გზაა, რომელიც ცოცხლობს მანამ, სანამ პარტნიორი თავის ჟურნალებს შეამოწმებს. ყოველი დაშვებული კავშირისთვის ჩაწერე დანიშნულების დიაპაზონები, კერძო DNS დომენები, ავტორიზებული შიდა წყაროები, ავთენტიფიკაციის მფლობელი და რა უნდა მოხდეს გვირაბის ჩავარდნისას. სთხოვე პარტნიორს წერილობით დაადასტუროს საერთო კავშირი, მათ შორის წყაროს ის დიაპაზონები, რომლებსაც მიიღებს. ზეპირი თანხმობა ჩვეულებრივ იცვლის მნიშვნელობას იმ კვირაში, როცა მათი უსაფრთხოების გუნდი იცვლება.

ის ჩანაწერი შედეგია. თუ ერთი პარტნიორისთვის ვერ დაწერ, ის პარტნიორი ცენტრალიზაციისთვის მზად არ არის.

მარშრუტიზაცია კონტექსტით, და არა მხოლოდ დანიშნულებით

ორი პარტნიორი საბოლოოდ ერთსა და იმავე კერძო დიაპაზონს გამოიყენებს, რადგან ყველა ორგანიზაცია ირჩევს იმავე RFC 1918 სივრციდან. ერთი ჩვეულებრივი მარშრუტიზაციის ცხრილი ვერ აირჩევს სწორ პარტნიორს მხოლოდ დანიშნულების მისამართით, ამიტომ გადამფარავ დიაპაზონებს სჭირდება ცალკე მარშრუტიზაციის კონტექსტები ან სხვა შეთანხმებული დიზაინი. გადამისამართების დომენის მოდელი RFC 4364-ში ხსნის, რატომ არის ეს განცალკევება მნიშვნელოვანი, და განლაგებას არ სჭირდება MPLS-ის გაშვება, რომ იგივე თვისება მოსთხოვოს თავის კარიბჭის პლატფორმას.

ჰკითხე პლატფორმას პირდაპირ: შეუძლიათ ორ პარტნიორს ერთი დანიშნულების პრეფიქსის გაზიარება და მაინც გარჩევა იმით, თუ თანამშრომლის რომელი კონტექსტიდან მოვიდა სესია? თუ პასუხი არაა, ეს შეზღუდვა დიზაინს უფრო მეტად აყალიბებს, ვიდრე მომწოდებლის ნებისმიერი ფუნქციების სია.

სადაც პასუხი კია, მარშრუტიზაციის კონტექსტი ხდება ის, რასაც ადოკუმენტირებ და ამოწმებ, რადგან ის traceroute-ში უხილავია.

გადაწყვიტე, რას აკრეფს თანამშრომელი და რას ინიშნავს პარტნიორი

პარტნიორის ნაწილი სამუშაოს ერგება აპლიკაციის პროქსის ან დისტანციურ სამუშაო სივრცეს, რომელიც იხსნება იმ პარტნიორის კონტექსტში. სხვა სამუშაოს სჭირდება მარშრუტიზებული ქსელური წვდომა დამტკიცებული თანამშრომელთა სეგმენტიდან, და ორივე შორეულ ბოლოში სხვადასხვა წყაროს მისამართსა და სხვადასხვა აუდიტის კვალს ქმნის. საერთო თარგმნილი წყაროს მისამართი შეიძლება დააკმაყოფილოს დაშვებულთა სია და ამავდროულად დამალოს, რომელმა მოწყობილობამ რა გააკეთა, ამიტომ შეინახე თანამშრომელ-სესიის საიმედო ჩანაწერი და დატოვე აპლიკაციის ავთენტიფიკაცია ადგილზე, ნაცვლად იმისა, რომ კარიბჭის მისამართი იდენტობად ჩათვალო, რაც მოხერხებულია ზუსტად იმ მომენტამდე, როცა პარტნიორი იკითხავს, ვინ გააკეთა ეს.

შემდეგ გაიარე ერთი რეალური ამოცანა თანამშრომლის მხრიდან: რას აჭერენ, რას სთხოვენ და რას დაინახავდა პარტნიორი, თუ ჟურნალის ჩანაწერს მოითხოვდა. თუ ეს გავლა განმეორებადი არ არის, დიზაინი დასრულებული არ არის.

აკრძალე პარტნიორთაშორისი ტრანზიტი ცალსახად

საერთო აპარატურა არასდროს უნდა ნიშნავდეს საერთო ნდობას. დაამატე აკრძალვა როგორც განზრახ წესი დასახელებული მფლობელით, და არა როგორც დაკარგული კონფიგურაციის შემთხვევა, და შეამოწმე ის ორივე მიმართულებით მოთხოვნით, რომელიც სხვაგვარად წარმატებული იქნებოდა. ტესტი მნიშვნელოვანია, რადგან მხოლოდ არმყოფი ნებართვა შეიძლება აღადგინოს შემდეგმა ინჟინერმა, რომელიც მარშრუტს დაამატებს უკავშირო საჩივრის გადასაჭრელად.

ჩაწერე აკრძალვა პარტნიორის ჩანაწერში ნებართვების გვერდით, რათა განზრახვამ პერსონალის ცვლილებები გადაიტანოს.

მართე როგორც საერთო სერვისი და არა როგორც უფრო დიდი ლეპტოპი

გვირაბების განახლება, სერთიფიკატების როტაცია, ტევადობა და კარიბჭის შეცვლა ახლა ყველა საერთო სერვისის ცვლილებად იქცევა, რაც ნიშნავს, რომ მათ სჭირდებათ გრაფიკი და კომუნიკაციის გზა, რაც ცალკეულ ლეპტოპებს არასდროს სჭირდებოდათ. შაბათს ამოწურული პარტნიორის სერთიფიკატი აღარ არის ერთი მომხმარებლის შეფერხება; ეს არის იმ პარტნიორის ყველა სესია ერთდროულად.

მიიღე დონე მხოლოდ მაშინ, როცა უარყოფილი პარტნიორთაშორისი მოთხოვნა ზუსტად ისე ვარდება, როგორც განზრახული იყო, და დაშვებული თანამშრომლის მოთხოვნა სწორ წყაროსთან ერთად სწორ დანიშნულებას აღწევს. ლეპტოპების კონფლიქტის მოშორება და თითოეული პარტნიორის საზღვრის ხელუხლებლად შენახვა მთელი აზრია; დიზაინი, სადაც ყოველი შორეული პრეფიქსი ყოველი მაგიდიდან ხელმისაწვდომია, პრობლემა უბრალოდ გადაადგილა.

შეინახე პატარა ცხრილი პარტნიორის, კონტექსტის, დაშვებული დიაპაზონებისა და მფლობელის შესახებ. ინციდენტის დროს პირველი ეს იქნება, რასაც ვინმე ითხოვს.