მრავალმოიჯარე VPN: საერთო გეითვეი, მოიჯარეზე თუ ჰოსტზე
გვირაბი მოიჯარეების იზოლაცია არ არის. შეადარეთ საერთო გეითვეი, მოიჯარეზე გამოყოფილი გეითვეები და ჰოსტზე გამოყოფილი კავშირები იდენტობის ასახვის, მარშრუტიზაციისა და გამორთვის მიხედვით.
გადაწყვიტეთ, ვინ უშვებს კლიენტს და რა უშლის ხელს ამ კლიენტს სხვა მოიჯარის რესურსებზე მისვლაში. ეს ორი გადაწყვეტილებაა, და IPsec-ის, WireGuard-ის თუ mesh პროდუქტის არჩევა არც ერთს არ პასუხობს. უნაკლოდ ამომავალ გვირაბს მაინც შეუძლია ყველა მოიჯარეს ყველა სხვაზე მისვლის საშუალება დაუტოვოს, და მიმოხილვა, რომელიც ამ ორს ერთსა და იმავედ თვლის, არასწორ პროექტს ამტკიცებს. ჯერ დაწერეთ კლიენტ-რესურსის რუკა: ადმინისტრატორები, მხარდაჭერის წვდომა, საერთო სერვისები და ბილიკები, რომლებიც აკრძალული უნდა დარჩეს.
დაიწყეთ რუკით და არა პროდუქტით
ეს რუკა პირველი არტეფაქტია, და ქვემოთ მოცემული ყოველი არჩევანი მხოლოდ გადაწყვეტილებაა იმის შესახებ, სად ცხოვრობს მისი დამცავი საზღვარი. შეინახეთ იგი გადასამოწმებლად: ერთი სტრიქონი კლიენტზე, ერთი სტრიქონი საერთო სერვისზე და აკრძალული ბილიკები ჩაწერილი.
რუკა, რომელსაც ვერავინ წაიკითხავს, რუკაა, რომელსაც ვერავინ აღასრულებს.
ერთი შესვლის წერტილი და მისი ასახვის პრობლემა
ყოველ განლაგებას ერთი საოპერაციო კითხვა წყვეტს, და ცხრილი მთელი შედარებაა.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
საერთო გეითვეი ახდენს შესვლის ცენტრალიზაციას და რისკს ერთ ადგილას აგროვებს: მოიჯარის იდენტობასა და მის პოლიტიკას შორის კავშირს. ჯგუფები ან გვირაბის მისამართები სწორ რესურსულ ნებართვებში უნდა გადაიქცეს, და ყოველი კლიენტისთვის განსხვავებული ნიშანი თავისთავად არაფერს კრძალავს. ცალკე მარშრუტიზაციის კონტექსტებს შეუძლიათ გადაფარული პრეფიქსების შენახვა, როცა პლატფორმა ამას მხარს უჭერს და პროექტი სრულია. ჩვეულებრივი საერთო მარშრუტიზაციის ცხრილი ვერ გაარჩევს ორ იდენტურ დანიშნულების პრეფიქსს მხოლოდ იმიტომ, რომ მათ უკან მდგარ ადამიანებს სხვადასხვა ანგარიში აქვთ.
ეს არის გამოცდა უმეტესი პროექტისთვის. ორ მოიჯარეს, რომლებიც შიგნით 10.0.0.0/8-ით ნომრავენ, სჭირდება გამოყოფილი მარშრუტიზაციის მდგომარეობა და არა სახელდების კონვენცია.
მოიჯარეზე გამოყოფილი გეითვეი ყიდულობს საზღვრებსა და სისტემებს
თითო გეითვეი კლიენტზე ზოგიერთ ადმინისტრაციულ საზღვარს ადვილად ასახსნელს ხდის, რადგან ამ კლიენტის შესვლა და პოლიტიკა ერთად არის. ის ასევე ამრავლებს სისტემებს, რომლებსაც სჭირდებათ სერტიფიკატები, პატჩები, მონიტორინგი და მფლობელი. და ის არ აწესებს საჯარო მისამართების ერთ წინასწარგანსაზღვრულ წყობას: ბოლო წერტილების გაზიარება, თარგმნა და პროტოკოლების დემულტიპლექსირება დამოკიდებულია იმაზე, რასაც დანერგვა ნამდვილად უჭერს მხარს.
დათვალეთ სისტემები და ადამიანები სანამ უსაფრთხოების მოგებას დათვლით. პროექტი, რომელსაც ოთხით მეტი გეითვეი აქვს, ვიდრე გუნდს პატჩების დადება შეუძლია, პრაქტიკაში უფრო იზოლირებული არ არის.
თუ მოიჯარეების რაოდენობა ყოველთვიურად იცვლება, ამ მოდელს სჭირდება ავტომატიზაციის ისტორია და არა შაბლონი.
ჰოსტზე გამოყოფილი კავშირები სამუშაოს გადაადგილებს
კავშირი ყოველ ჰოსტირებულ მანქანაზე არ აუქმებს საოპერაციო სამუშაოს, ის მანქანის სასიცოცხლო ციკლში გადააქვს. რეგისტრაცია, მანქანისეული პოლიტიკა, გასაღების როტაცია და ჩანაცვლება ხდება უზრუნველყოფის ნაწილი, და ისინი ისევე მარცხდებიან, როგორც თავად მანქანა, იმავე ფანჯარაში. სხვადასხვა ქსელში მდგარ რამდენიმე გრძელვადიან ჰოსტზე ეს ხშირად სწორია, ხოლო ფლოტისთვის, რომელმაც უკვე დაკარგა ანგარიში იმაზე, რომელი იმიჯი სად მუშაობს, იშვიათად.
თითოეულ ვარიანტში დაასახელეთ როლი იდენტობის გაცემისთვის, განახლებებისთვის, წვდომის მოხსნისთვის, მონიტორინგისა და აღდგენისთვის. შემდეგ ჰკითხეთ, რა ხდება იმ დღეს, როცა ერთი კლიენტი მიდის.
გამორთვა შედარების ნაწილია
შედარებების უმეტესობა გამორთვას გამოტოვებს. მოიჯარის წაშლამ უნდა გააუქმოს მისი სერტიფიკატები, ჩამოაგდოს მისი პოლიტიკა, გაათავისუფლოს მისი მისამართები და მარშრუტიზაციის მდგომარეობა და ყველა დანარჩენი ხელუხლებლად დატოვოს. NIST-ის ნდობის ნულოვანი არქიტექტურის სახელმძღვანელო აქ სწორი მითითებაა, რადგან ავთენტიფიკაციასა და ავტორიზაციას რესურსზე აყენებს ქსელური პოზიციის ნდობის ნაცვლად, და ეს კლიენტის საკუთარი სეგმენტის შიგნითაც ვრცელდება.
აწონეთ დაშვებული და აკრძალული ნაკადები, გადაფარული მისამართების დამუშავება და გამორთვის პროცედურა სანამ პროტოკოლის ეტალონებს აწონით. შემდეგ შეარჩიეთ ტრანსპორტი და ავთენტიფიკაციის მეთოდი, რომლებიც თქვენს მიერ არჩეულ საზღვარს შეეფერება. ძველი პროდუქტის სახელი, ან მტკიცება, რომ ყველა ბიზნესმა ერთ პროტოკოლზე უნდა სტანდარტიზდეს, აქედან ვერაფერს წყვეტს. პირველ დაწერილი რუკა წყვეტს.