Серіктестерді біріктірмей серіктес VPN қатынасын орталықтандыру

Ұсыныс орынды: бірнеше ноутбукке таралған бес серіктес туннелі, клиент нұсқаларының бес жиынтығы, бес көмек үстелінің сценарийі және олардың қалай бірігетінін білетін бір инженер. Оларды басқарылатын қатынас деңгейіне көшіру соңғы нүктелердің таралуын шешеді. Ол сондай-ақ сіздің архитектураңызда жаңа нысан жасайды, енді өз рұқсат моделін қажет ететін ортақ қатынас қызметі, және бәрі бағаламайтын ақау — барлық туннель қосылған орталық құрылғының көрші болуға ешқашан келіспеген ұйымдар арасындағы транзиттік желіге айналатыны. Бұл тәуекел — дизайн таңдауы, аппаратура өздігінен жасайтын нәрсе емес. Төмендегі жұмыс ыңғайлылықты кездейсоқ жанама әсерді қабылдамай қалай сақтайтынымды көрсетеді.

Әр серіктес қол қойған шарттан бастаңыз

Кез келген конфигурациядан бұрын серіктестің ортақ шлюзге немесе сайт қосылымына жалпы рұқсат беретінін растаңыз. Жеке қашықтан қатынас тіркелгісі, құрылғы күйіне қойылатын талап немесе интерактивті MFA ағыны қадағалаусыз ортақ туннельге көшірілмеуі мүмкін, ал қызметкерлерді бір көшірілген клиент сәйкестігінің артына жинау — серіктес журналдарын тексергенге дейін өмір сүретін қысқа жол. Әрбір рұқсат етілген қосылым үшін мақсат диапазондарын, жеке DNS домендерін, рұқсат етілген ішкі көздерді, аутентификация иесін және туннель істен шыққанда не болуы керектігін жазыңыз. Серіктестен ортақ қосылымды жазбаша растауды сұраңыз, оның ішінде ол қабылдайтын көз диапазондары. Ауызша мақұлдау әдетте олардың қауіпсіздік тобы ауысқан аптада мағынасын өзгертеді.

Сол жазба — нәтиже. Егер оны бір серіктес үшін жаза алмасаңыз, ол серіктес орталықтандыруға дайын емес.

Тек мақсат бойынша емес, контекст бойынша маршруттаңыз

Екі серіктес ақырында бір жеке диапазонды қолданады, өйткені әр ұйым бір RFC 1918 кеңістігінен таңдайды. Бір қарапайым маршруттау кестесі тек мақсат мекенжайы бойынша дұрыс серіктесті таңдай алмайды, сондықтан қабаттасатын диапазондарға бөлек маршруттау контексттері немесе басқа келісілген дизайн қажет. RFC 4364 құжатындағы қайта бағыттау домені моделі бұл бөлудің неге маңызды екенін түсіндіреді, және орналастыру өз шлюз платформасынан сол қасиетті талап ету үшін MPLS іске қосудың қажеті жоқ.

Платформаға тікелей сұрақ қойыңыз: екі серіктес бір мақсат префиксін бөлісіп, сессия қай қызметкер контекстінен келгенімен әлі де ажыратыла ала ма? Жауап жоқ болса, бұл шектеу дизайнды кез келген жеткізушінің мүмкіндіктер тізімінен де көбірек қалыптастырады.

Жауап иә болған жерде маршруттау контексті құжаттайтын және тексеретін нәрсеге айналады, өйткені ол traceroute ішінде көрінбейді.

Қызметкер нені теретінін және серіктес нені жазғанын шешіңіз

Серіктес жұмысының бір бөлігі қолданба проксиіне немесе сол серіктестің контекстінде ашылатын қашықтан жұмыс кеңістігіне сәйкес келеді. Басқа жұмыс бекітілген қызметкерлер сегментінен маршрутталған желілік қатынасты қажет етеді, және екеуі де алыс шетте әртүрлі көз мекенжайлары мен әртүрлі аудит іздерін жасайды. Ортақ аударылған көз мекенжайы рұқсат тізімін қанағаттандырып, қай құрылғының не істегенін жасыра алады, сондықтан қызметкер-сессия байланысының сенімді жазбасын сақтаңыз және шлюз мекенжайын сәйкестік ретінде қарастырудың орнына қолданба аутентификациясын орнында ұстаңыз, бұл серіктес мұны кім істеді деп сұраған сәтке дейін ыңғайлы.

Содан кейін қызметкер жағынан бір нақты тапсырманы өтіңіз: не нәрсені басады, олардан не сұралады және серіктес журнал жазбасын сұраса не көреді. Егер бұл жүріс қайталанбайтын болса, дизайн аяқталмаған.

Серіктес арасындағы транзитті анық түрде тыйыңыз

Ортақ аппаратура ешқашан ортақ сенімді білдірмеуі керек. Тыйымды атаулы иесі бар әдейі ереже ретінде қосыңыз, жетіспейтін конфигурацияның кездейсоғы ретінде емес, және оны екі бағытта да әйтпесе сәтті болатын сұраныспен тексеріңіз. Тест маңызды, өйткені тек жоқ рұқсатты байланыссыз шағымды шешу үшін маршрут қосқан келесі инженер қалпына келтіре алады.

Тыйымды рұқсаттардың жанында серіктес жазбасына жазыңыз, ниет қызметкерлер ауысқанда да сақталсын.

Оны үлкенірек ноутбук ретінде емес, ортақ қызмет ретінде жүргізіңіз

Туннельдерді жаңарту, тіркелгі деректерін айналдыру, сыйымдылық және шлюзді ауыстыру енді барлығы ортақ қызметтің өзгерістеріне айналады, яғни оларға жеке ноутбуктер ешқашан қажет етпеген кесте мен байланыс жолы керек. Сенбіде мерзімі бітетін серіктес сертификаты енді бір пайдаланушының іркілісі емес; бұл сол серіктестің барлық сессиялары бір уақытта.

Деңгейді тек серіктесаралық тыйылған сұраныс дәл ойлағандай сәтсіз болып, рұқсат етілген қызметкер сұранысы дұрыс көзбен дұрыс мақсатқа жеткенде ғана қабылдаңыз. Ноутбук қақтығысын жойып, әр серіктестің шекарасын бүтін сақтау — бүкіл мәселе; әр қашықтағы префикс әр үстелден қолжетімді дизайн мәселені жай ғана жылжытты.

Серіктес, контекст, рұқсат етілген диапазондар және ие туралы шағын кесте ұстаңыз. Оқиға кезінде біреу ең алдымен соны сұрайды.