გჭირდებათ კიდევ VPN, თუ იყენებთ Identity-Aware Proxy-ს?

ვარაუდი ასეა: როგორც კი იდენტობის მცოდნე პროქსი შიდა აპლიკაციების წინ დადგება, VPN მხოლოდ დეკორაციაა და კლიენტს შეუძლია წავიდეს. ეს მართალია ერთ ვიწრო შემთხვევაში, ინტერაქტიულ HTTPS აპლიკაციაში, რომელსაც ადამიანი ბრაუზერში იყენებს, და ჩუმად მარწხევა ყველგან სხვაგან. პროქსი ავტორიზაციას უკეთებს მოთხოვნას რესურსის მიმართ; VPN კლიენტს ქსელურ სფეროში უშვებს, და ეს ორი საზღვარი იშვიათად ემთხვევა. სანამ გვირაბს გააუქმებთ, შეადარეთ ოპერაციები, რომლებსაც თქვენი ხალხი რეალურად ასრულებს, და არა დიაგრამაზე არსებული პროდუქტის ეტიკეტები.

ორი კარიბჭე სხვადასხვა რამეს ავტორიზაციას უზრუნველყოფს

აპლიკაციის კარიბჭე წყვეტს, შეიძლება თუ არა ეს მოთხოვნა, ამ იდენტობიდან, მიაღწიოს ამ დაცულ რესურსან. Google-ის Identity-Aware Proxy-ის მიმოხილვა ზუსტად ამ ფორმას აღწერს: ცენტრალური ავტორიზაციის ფენა HTTPS აპლიკაციების წინ, რომელსაც IAM როლი მართავს. საზღვარი რესურსია, ხოლო წვდომის ერთეული მოთხოვნაა. მარშრუტიზებული VPN უფრო უხრუშს და ფართოს აკეთებს: კლიენტს განსაზღვრულ ქსელურ სფეროში უშვებს, რის შემდეგაც აპლიკაცია მაინც წყვეტს, რა შეუძლია გააკეთოს ამ კლიენტმა.

არც ერთი მოდელი არ გულისხმობს მეორეს. კარიბჭეზ გავლა არაფერს ამბობს კონკრეტული ჩანაწერის წაკითხვაზე, და ქსელში ყოფნა არაფერს ამბობს მოქმედების ნებართვაზე.

რას არ ფარავს პროქსი და ფარავს VPN

SSH სესიები, მონაცემთა ბაზის კლიენტები, შეტყობინების ბროკერები და შიდა ჰოსტების სახელები, რომლებსაც არც ერთი ბრაუზერი არასდროს ხსნის, არ ხდება ხელმისაწვდომი მხოლოდ იმიტომ, რომ არსებობს ვებ-პროქსი. თითოეული თავის პროტოკოლზე ლაპარაკობს, და თითოეულს სტრიქება ან საკუთარი ავთენტიფიცირებული გზა, ან ქსელი, რომელიც მას ატარებს. ეს ის ნაპრალი, რომელსაც ხალხი მიგრაციის პირველ დღეს აღმოაჩენენს, ჩვეულებრივად მორიგე ინჟინერისგან, რომელსაც ლეპტოპი ვეღარ წყვეტს ჰოსტის სახელს.

საპირისპირო ნაპრალი არანაკლეს რეალურია. VPN, რომელიც კლიენტს ქვექსელში უშვებს, არ ავთენტიფიცირებს მაში მყოფ ადამიანს, და ამ ქვექსელში კომპრომეტირებული მოწყობილობა იმკვიდრებს ყველაფერს, რასაც ქსელი უშვებს. თუ მოთხოვნაა აუდიტირებადი იდენტობით თითო მოთხოვნაზე ავტორიზაცია, მხოლოდ მარშრუტიზაცია ვერ შქმნის მას. ორგანიზაციების უმეტესობა საბოლოოდ ორივეს ამუშავებს, და საინტერესო კითხვა არის, რომელ რესურსებზე შეუძლია თითოეულის წინ დგომა.

კლიენტის სამუშაო ნაკადი მეტს წყვეტს, ვიდრე არქიტექტურის დიაგრამა

ბრაუზერში შესვლა გადამისამართებით და დროდადრო MFA გამოწვევით კარგი გამოცდილებაა იმ ადამიანისთვის, ვინც წიგნს აზრილს ადებს. cron დავალებას, CLI-ს ან build აგენტს ბრაუზერი არ აქვს და ვერ შეუძლია უპასუხოს ინტერაქტიულ მოთხოვნას, ამიტომ მას სსრთდება დოკუმენტირებული არაინტერაქტიული გზა ან გვირაბი. ამ მოთხოვნის აღმოჩენა ჩვეულებრივად დიზაინის დამტკიცების შემდეგ ხდება.

აპლიკაციების დათვამაზე დათვეთ კლიენტები. ერთი დაფა ას ადამიანს მოემსახურებს; ერთი მონაცემთა ბაზის პორტი მთელ გუნდს დაბლოკავს.

მოწყობილობის მდგომარეობა არც ერთი კარიბჭის თვისება არ არის

VPN კლიენტის ინსტალაცია შესაბამისობის შემოწმება არ არის, და ბრაუზერზე დაფუძნებული დიზაინი ავტომატურად არ არის უუნარი მართვა მართვის მოწყობილობების პოლიტიკას. ორივე შეუძლება ინტეგრირდეს მდგომარეობის სიგნალებს, და ორივე შეუძლება გათვალისწინდეს მათ გარეშე. იკითხეთ, რა აღსრულება არსებობს, ვის ეკუთვნის პოლიტიკა და რა ემართება მის დამრღვევ მოწყობილობას, იმის ნადვლად, რომ ეს პროდუქტის ფორმიდან გამოითანოთ.

იგივე სიფრთხილე ეხება წვდომის მოხსნას. პროქსში ჯგუფის წვრობის წაშლა და გვირაბის სერტიფიკატის გაუქმება სხვადასხვა დაყოვების სხვადასხვა ოპერაციებია, და ერთი მათგანი ჩვეულებრივად ავიწყდება გასვლისას.

რამეკის გაუქმებამდე იპოვეთ ალტერნატიული გზები

პროქსის უკანა დაუცველი წყარო, მის გვერდის ავლით მიმავალი მეორე ჰოსტის სახელი ან წინა დიზაინიდან დარჩენილი ფართო პრივატული მარშრუტი გაწყვეტს, რომელი კარიბჭე არის რეალურად ძლაში. შეამოწმეთ დაშვებული და უარყოფილი ოპერაცია რეალური კლიენტით, და არა კონსოლით, და შეამოწმეთ ისინი მოწყობილობიდან, რომელიც არასდროს დარეგისტრირებული. უარყოფილი შემთხვევა არის ის, რომელიც გეუბნებათ, აკეთებს კარიბჭე სადაც რამეს.

შემდეგც დაწერთ გადაწემა: რეგისტრაცია, განახლებები, წვდომის მოხსნა და აღდგენის გზა იმისთვის, ვინც ღამის 2 საათზე გარეთ ჩაკეტილია. მოთხოვნის ან კლიენტური აპლიკაციის წაშლა პასუხისმგებელობას გუნდებს შორის ადგილებს; ის პასუხისმგებელობას არ შლის.

თუ ამ კვირაში წყვეტთ, დაიწყეთ ოპერაციების სიათ და არა პროდუქტების სიათ, აღნიშნეთ, რომელსაც ბრაუზერი შეუძლება შეასრულოს, და დანარჩენს ნებართვა გაამართლოს ის ქსელური წვდომა, რომელიც გადარჭება.