Identity-Aware Proxy қолдансаңыз, сізге әлі де VPN керек пе?

Болжам былай: идентификацияны білетін прокси ішкі қосымшалардың алдына тұрған бойда VPN тек әшекейге айналады да, клиент кете алады. Бұл бір тар жағдайға ғана қатысты — адам браузерде қолданатын интерактивті HTTPS қосымшасы — және қалған барлық жерде үнсіз сәтсіздікке ұшырайды. Прокси сұранысты ресурсқа қатысты авторизациялайды; VPN клиентті желілік аяға жібереді, және бұл екі шекара сирек сәйкес келеді. Туннелді жоюдың алдында адамдарыңыз шын мәнінде жасайтын операцияларды салыстырыңыз, диаграммадағы өнім белгілерін емес.

Екі қақпа әртүрлі нәрселерге рұқсат береді

Қосымша қақпасы осы сұраныстың осы идентификациядан осы қорғалған ресурсқа жете алатынын шешеді. Google-дың Identity-Aware Proxy шолуы дәл осы пішінді сипаттайды: HTTPS қосымшаларының алдындағы IAM рөлімен басқарылатын орталық авторизация қабаты. Шекара — ресурс, ал қатынау бірлігі — сұраныс. Маршрутталған VPN неғұрлым дөрекі және кең нәрсе жасайды: клиентті анықталған желілік аяға жібереді, содан кейін қосымша бұл клиенттің не істей алатынын шешеді.

Екі модельдің ешқайсысы екіншісін білдірмейді. Қақпадан өту нақты жазбаны оқу туралы ештеңе айтпайды, ал желіде болу әрекет етуге рұқсат туралы ештеңе айтпайды.

Прокси нені қамтымайды, VPN нені қамтиды

SSH сессиялары, дерекқор клиенттері, хабарлама брокерлері және ешбір браузер ашпайтын ішкі хост атаулары веб-прокси бар болғандықтан ғана қолжетімді бола қоймайды. Әрқайсысы өз протоколында сөйлейді, және әрқайсысына не өзінің аутентификацияланған жолы, не оны тасымалдайтын желі қажет. Бұл — көші-қонның бірінші күні адамдар табатын алшақтық, әдетте хост атауын енді шеше алмайтын ноутбугі бар кезекші инженерден.

Кері алшақтық та соншалықты нақты. Клиентті ішкі желіге жіберетін VPN ондағы адамды аутентификацияламайды, және сол ішкі желідегі зақымдалған құрылғы желі рұқсат еткеннің барлығын мұраға алады. Егер талап аудиттелетін идентификациямен әр сұранысқа авторизация болса, тек маршруттау оны бере алмайды. Көп ұйымдар ақырында екеуін де жүргізеді, және қызықты сұрақ — қай ресурстардың алдында қайсысы тұра алады.

Клиент жұмыс ағыны архитектура диаграммасынан көбірек шешеді

Қайта бағыттау және кейде MFA шақыруымен браузерде кіру бетбелгін басатын адам үшін жақсы тәжірибе. cron тапсырмасының, CLI-дің немесе build агентінің браузері жоқ және ол интерактивті сұрауға жауап бере алмайды, сондықтан оған құжатталған интерактивті емес жол немесе туннел қажет. Бұл талаптың ашылуы әдетте дизайн бекітілгеннен кейін болады.

Қосымшаларды санамас бұрын клиенттерді санаңыз. Бір тақта жүз адамға қызмет ете алады; бір дерекқор порты бүкіл команданы бөгеп қоюы мүмкін.

Құрылғы күйі екі қақпаның да қасиеті емес

VPN клиентін орнату — сәйкестік тексерісі емес, ал браузерге негізделген дизайн басқарылатын құрылғылар саясатын сақтауға автоматты түрде қабілетсіз емес. Екеуі де күй сигналдарымен біріктіріле алады, және екеуін де оларсыз орналастыруға болады. Өнім пішінінен қорытынды жасаудың орнына, қандай мәжбүрлеу бар, саясат кімдікі және оны бұзған құрылғыға не болатынын сұраңыз.

Дәл осы сақтық қатынауды жоюға да қатысты. Проксиде топ мүшелігін жою және туннел сертификатын қайтарып қалау — әртүрлі кешігуі бар әртүрлі операциялар, және олардың біреуі әдетте жұмыстан шығу кезінде ұмытылады.

Бір нәрсені жоюдың алдында балама жолдарды табыңыз

Проксидің артындағы қорғалмаған бастау, оны айналып өтетін екінші хост атауы немесе бұрынғы дизайннан қалған кең жеке маршрут қай қақпаның шын мәнінде күшінде екенін шешеді. Рұқсат етілген және қабылданбаған операцияны нақты клиент арқылы тексеріңіз, консоль арқылы емес, және оларды ешқашан тіркелмеген құрылғыдан тексеріңіз. Қабылданбаған жағдай — қақпа тұлада бір нәрсе жасап жатқанын айтатын жағдай.

Содан кейін тапсыруды жазыңыз: тіркеу, жаңартулар, қатынауды жою және түнгі сағат 2-де сыртта құлыпталған адамға қалпына келтіру жолы. Сұрауды немесе клиенттік қосымшаны алып тастау жауапкершілікті командалар арасында жылжытады; ол жауапкершілікті жоймайды.

Осы аптада шешім қабылдасаңыз, өнімдер тізімінен емес, операциялар тізімінен бастаңыз, қайсысын браузер орындай алатынын белгілеңіз, ал қалғандары аман қалған желілік қатынауды негіздесін.