Көптенантты VPN: ортақ шлюз, әр тенантқа немесе әр хостқа
Туннель тенанттарды оқшаулау емес. Ортақ шлюзді, әр тенантқа арналған шлюздерді және әр хостқа арналған қосылымдарды сәйкестікті картаға түсіру, маршруттау және шығару тұрғысынан салыстырыңыз.
Клиентті кім қабылдайтынын және сол клиентке басқа тенанттың ресурстарына жетуге не кедергі болатынын шешіңіз. Бұл екі шешім, және IPsec, WireGuard немесе mesh өнімін таңдау екеуіне де жауап бермейді. Мінсіз көтерілетін туннель де әр тенанттың барлық басқаларына жетуіне мүмкіндік қалдыруы мүмкін, ал екеуін бірдей нәрсе деп қарайтын шолу дұрыс емес дизайнды мақұлдайды. Алдымен клиенттен ресурсқа картаны жазыңыз: әкімшілер, қолдау қатынасы, ортақ қызметтер және тыйым салынған күйде қалуы тиіс жолдар.
Өнімнен емес, картадан бастаңыз
Бұл карта — бірінші артефакт, ал төмендегі әр таңдау тек оны қолдайтын шекараның қайда тұратыны туралы шешім. Оны қарауға қолайлы ұстаңыз: әр клиентке бір жол, әр ортақ қызметке бір жол және тыйым салынған жолдар жазылған.
Ешкім оқи алмайтын карта — ешкім қолданбайтын карта.
Бір қабылдау нүктесі және оның карталау мәселесі
Әр орналасу бір ғана операциялық сұрақпен шешіледі, ал кесте — бүкіл салыстыру.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Ортақ шлюз қабылдауды орталықтандырады және тәуекелді бір жерге шоғырландырады: тенант сәйкестігі мен оның саясаты арасындағы байланыс. Топтар немесе туннель мекенжайлары дұрыс ресурс рұқсаттарына айналуы керек, ал әр клиентке бөлек белгі өздігінен ештеңенің алдын алмайды. Бөлек маршруттау контекстері платформа қолдаса және дизайн толық болса, қабаттасқан префикстерді ұстай алады. Қарапайым ортақ маршруттау кестесі екі бірдей межелі префиксті тек артындағы адамдардың шоттары бөлек болғандықтан ажырата алмайды.
Бұл көптеген дизайн үшін сынақ. Іштей 10.0.0.0/8 арқылы нөмірлейтін екі тенантқа атау конвенциясы емес, бөлінген маршруттау күйі қажет.
Әр тенантқа шлюз шекара мен жүйе сатып алады
Әр клиентке бір шлюз кейбір әкімшілік шекараларды түсіндіруді жеңілдетеді, өйткені сол клиенттің қабылдауы мен саясаты бірге тұрады. Ол сондай-ақ тіркелгі деректері, патчтар, мониторинг және иесі қажет жүйелердің санын көбейтеді. Және ол жария мекенжайлардың бір ғана белгіленген тәртібін таңбайды: соңғы нүктелерді бөлісу, аудару және протоколдарды демультиплекстеу іске асыру шынында нені қолдайтынына байланысты.
Қауіпсіздік пайдасын санамас бұрын жүйелер мен адамдарды санаңыз. Команда патчтай алатынынан төрт шлюз артық дизайн іс жүзінде оқшауланған емес.
Егер тенант саны ай сайын өзгерсе, ол модельге үлгі емес, автоматтандыру әңгімесі қажет.
Әр хостқа қосылымдар жұмысты жылжытады
Әр хостталған машинадағы қосылым операциялық жұмысты жоймайды, оны машинаның өмірлік цикліне көшіреді. Тіркеу, машина бойынша саясат, кілт айналдыру және ауыстыру дайындаудың бөлігіне айналады және олар машинаның өзі сияқты сол терезеде сәтсіздікке ұшырайды. Бөлек желілердегі бірнеше ұзақ өмірлі хост үшін бұл жиі дұрыс, ал қай бейненің қайда жүретінін әлдеқашан жоғалтқан флот үшін сирек.
Әр нұсқада сәйкестік беру, жаңартулар, қатынасты алу, мониторинг және қалпына келтіру үшін рөл атаңыз. Содан кейін бір клиент кететін күні не болатынын сұраңыз.
Шығару салыстыруға жатады
Көптеген салыстырулар шығаруды өткізіп жібереді. Тенантты жою оның тіркелгі деректерін жарамсыз етуі, саясатын тастауы, мекенжайлары мен маршруттау күйін босатуы және қалғандардың барлығын тимей қалдыруы керек. NIST-тің нөлдік сенім сәулеті жөніндегі нұсқаулығы осында дұрыс сілтеме, өйткені ол аутентификация мен авторизацияны желілік позицияға сену орнына ресурсқа қояды, және бұл клиенттің өз сегментінің ішінде де қолданылады.
Протокол эталондарын өлшеуден бұрын рұқсат етілген және тыйым салынған ағындарды, қабаттасқан мекенжайларды өңдеуді және шығару рәсімін өлшеңіз. Содан кейін таңдалған шекараға сай келетін көлік пен аутентификация әдісін таңдаңыз. Ескі өнім атауы немесе әр бизнес бір протоколға стандартталуы керек деген тұжырым осылардың ешқайсысын шешпейді. Бірінші жазылған карта шешеді.