ಆ್ಯಪ್ mTLS ಮತ್ತು SSO ಬಳಸಿದಾಗ ನಿಮಗೆ ಇನ್ನೂ ಸೈಟ್ VPN ಬೇಕೇ?
ನಿಮ್ಮ ಆ್ಯಪ್ ಲಾಗಿನ್ ಎಂದೂ ಆವರಿಸದ ಚಾನಲ್‌ಗಳ ಮೂಲಕ ಸಾಗಿ, ನಂತರ ಖಾಸಗಿ ನೆಟ್‌ವರ್ಕ್ ಪ್ರವೇಶ ಅನಗತ್ಯವೇ ಅಥವಾ ಹೋಸ್ಟ್‌ಗೆ ಇನ್ನೂ ಏಕೈಕ ಮಾರ್ಗವೇ ಎಂದು ನಿರ್ಧರಿಸಿ.
ನೀವು mTLS ಮೂಲಕ ಸೈನ್ ಇನ್ ಮಾಡುತ್ತೀರಿ, ಡ್ಯಾಶ್‌ಬೋರ್ಡ್ ಲೋಡ್ ಆಗುತ್ತದೆ, ಮತ್ತು ಸೈಟ್ VPN ಈಗ ಅನಗತ್ಯ ಎಂಬ ಹೇಳಿಕೆ ರಾತ್ರಿ ಎರಡು ಗಂಟೆಗೆ ಡೇಟಾಬೇಸ್ ಮರುಸ್ಥಾಪಿಸುವ ಅಗತ್ಯ ಬರುವವರೆಗೆ ಸುಮಾರು ಸಮಂಜಸವಾಗಿ ಕೇಳಿಸುತ್ತದೆ. ಆ್ಯಪ್‌ನ TLS ಗಡಿ ಒಂದೇ ಚಾನಲ್ ಅನ್ನು ವಿವರಿಸುತ್ತದೆ. ಹೋಸ್ಟ್, ಡೇಟಾಬೇಸ್, ಬ್ಯಾಕಪ್ ಗುರಿ ಮತ್ತು ಕ್ಲೌಡ್ ಖಾತೆ ಪ್ರತಿಯೊಂದೂ ತಮ್ಮದೇ ಪ್ರವೇಶ ಮಾರ್ಗ, ತಮ್ಮದೇ ಗುರುತು ಮತ್ತು ತಮ್ಮದೇ ಅನುಮೋದಕವನ್ನು ಹೊಂದಿವೆ, ಮತ್ತು ಅವುಗಳಲ್ಲಿ ಯಾವುದೂ ಯಶಸ್ವಿ ಲಾಗಿನ್‌ನಿಂದ ಪರೀಕ್ಷಿಸಲ್ಪಡುವುದಿಲ್ಲ.
ಲಾಗಿನ್ ಪರದೆಯಿಂದ ಹೊರಕ್ಕೆ ನಡೆಯಿರಿ
ಸಾಮಾನ್ಯ ಬಳಕೆದಾರರಂತೆ ಸೈನ್ ಇನ್ ಮಾಡಿ ಮತ್ತು ವಿನಂತಿ ಸ್ಪರ್ಶಿಸುವ ಪ್ರತಿಯೊಂದು ಹೆಜ್ಜೆಯನ್ನೂ ಬರೆಯಿರಿ: ಬ್ರೌಸರ್, ಎಡ್ಜ್, ಅಪ್ಲಿಕೇಶನ್ ಶ್ರೋತ, ಸೆಷನ್ ಸಂಗ್ರಹ, ಬ್ಯಾಕೆಂಡ್ API. ಪ್ರತಿ ಹೆಜ್ಜೆಗೂ ಒಬ್ಬ ಮಾಲೀಕ ಮತ್ತು ಒಂದು ದೃಢೀಕರಣ ನಿರ್ಣಯ ಇರುತ್ತದೆ. ಈಗ ಹೋಸ್ಟ್‌ಗೆ ಪ್ಯಾಚ್ ಮಾಡುವವರಿಗೆ ಮತ್ತು ರಾತ್ರಿಯ ಬ್ಯಾಕಪ್ ಬರೆಯುವ ಕೆಲಸಕ್ಕೆ ಈ ನಡಿಗೆಯನ್ನು ಪುನರಾವರ್ತಿಸಿ. ಆ ನಡಿಗೆಗಳು ಸಾಮಾನ್ಯವಾಗಿ ಮೊದಲ ಹೆಜ್ಜೆಯಲ್ಲೇ ಬೇರ್ಪಡುತ್ತವೆ.
ಆ ವಿಭಜನೆಯೇ ಉತ್ತರಿಸಲು ಯೋಗ್ಯವಾದ ಪ್ರಶ್ನೆ. ಎರಡನೇ ನಡಿಗೆಯ ಪ್ರತಿ ಚಾನಲ್‌ಗೂ ಸ್ವತಂತ್ರವಾಗಿ ನಿಲ್ಲುವ ಪ್ರವೇಶ ಮತ್ತು ಅಧಿಕಾರ ನೀತಿ ಇದ್ದಾಗ ಮಾತ್ರ ಸೈಟ್ VPN ಅನಗತ್ಯವಾಗುತ್ತದೆ.
ಆ್ಯಪ್ ಲಾಗಿನ್ ಎಂದೂ ಆವರಿಸದ ಐದು ಚಾನಲ್‌ಗಳು
ಕೆಳಗಿನ ಕೋಷ್ಟಕವು ದಾಸ್ತಾನು ಟೆಂಪ್ಲೇಟ್, ನಿಯೋಜನೆ ಪರಿಶೀಲನಾ ಪಟ್ಟಿ ಅಲ್ಲ. ಎರಡನೇ ಕಾಲಮ್ ಅನ್ನು ನಿಮ್ಮ ಪರಿಸರವು ಇಂದು ನಿಜವಾಗಿ ಜಾರಿಗೊಳಿಸುವುದರಿಂದ ತುಂಬಿಸಿ.
| Channel | Access decision to identify |
|---|---|
| Application API | Accepted TLS peer, application identity, permitted operations |
| Operating-system administration | Approved entry path, administrative identity, host permissions |
| Database maintenance | Database identity, protected connection, authorized maintenance role |
| Backup and restore | Service identity, allowed source, access to stored copies |
| Cloud control plane | Account and role permissions governing infrastructure changes |
ಒಂದೇ ಗುರುತು ಪೂರೈಕೆದಾರರನ್ನು ಹಂಚಿಕೊಳ್ಳುವುದು ಈ ಅಧಿಕಾರಗಳನ್ನು ಒಂದುಗೂಡಿಸುವುದಿಲ್ಲ. API ವಿನಂತಿ ಕಳುಹಿಸಬಹುದಾದ ಬಳಕೆದಾರನು ಅದರಿಂದ VM ಡಿಸ್ಕ್ ಬದಲಾಯಿಸಲು ಅಥವಾ ಆ್ಯಪ್‌ನ ರುಜುವಾತುಗಳಿಂದ ಡೇಟಾಬೇಸ್ ಮರುಸ್ಥಾಪಿಸಲು ಅಧಿಕೃತನಾಗುವುದಿಲ್ಲ. NIST ಶೂನ್ಯ-ನಂಬಿಕೆ ವಾಸ್ತುಶಿಲ್ಪ ಸಾರಾಂಶದಲ್ಲಿ ನಿಖರವಾಗಿ ಈ ಕಾರಣಕ್ಕಾಗಿ ಸಂಪನ್ಮೂಲ ದೃಢೀಕರಣ ಮತ್ತು ಅಧಿಕಾರವನ್ನು ನೆಟ್‌ವರ್ಕ್ ಸ್ಥಳದಿಂದ ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡುತ್ತದೆ.
ಟಿಕೆಟ್ ಓದಬಲ್ಲ ಬೆಂಬಲ ಎಂಜಿನಿಯರ್ ಅದರಿಂದ ಅದರ ಹಿಂದಿನ ಹೋಸ್ಟ್‌ನಲ್ಲಿ ಕನ್ಸೋಲ್ ತೆರೆಯಲು ಅಧಿಕೃತನಾಗುವುದಿಲ್ಲ.
ಮಾರ್ಗವು ನಿಜವಾಗುವುದು ಪರ್ಯಾಯ ಮುಚ್ಚಿದಾಗ ಮಾತ್ರ
ಖಾಸಗಿ ಆಡಳಿತಾತ್ಮಕ ಶ್ರೋತಗಳಿಗೆ ತಲುಪುವಿಕೆಯನ್ನು ಸೀಮಿತಗೊಳಿಸುವುದು ಸೈಟ್ VPNಗೆ ಕಾನೂನುಬದ್ಧ ಬದಲಿ, ಆದರೆ ಸೀಮಿತಗೊಳಿಸುವಿಕೆಯನ್ನು ಜಾರಿಗೊಳಿಸಬೇಕು, ಬರೆದಿಡಬಾರದು. ಸಾಮಾನ್ಯ ವೈಫಲ್ಯ ಎಂದರೆ ಯಾರೂ ನೆನಪಿಟ್ಟುಕೊಳ್ಳದ ಪರ್ಯಾಯ ಶ್ರೋತ: ಎಲ್ಲಾ ಇಂಟರ್ಫೇಸ್‌ಗಳಿಗೆ ಇನ್ನೂ ಬದ್ಧವಾಗಿರುವ ಸೇವೆ, ಗುತ್ತಿಗೆದಾರರಿಗೆ ತೆರೆದ ಭದ್ರತಾ ಗುಂಪು ನಿಯಮ, ಇಂಟರ್ನೆಟ್‌ನಿಂದ ತಲುಪಬಹುದಾದ ನಿರ್ವಹಣಾ ಪೋರ್ಟ್.
ರೇಖಾಚಿತ್ರಗಳಲ್ಲ, ಶ್ರೋತಗಳನ್ನು ಪರಿಶೀಲಿಸಿ. ಹೋಸ್ಟ್‌ನಲ್ಲಿ ss -ltnp ಬಳಸಿ ನಿಜವಾಗಿ ಏನು ಬದ್ಧವಾಗಿದೆ ಎಂದು ಪಟ್ಟಿ ಮಾಡಿ ಮತ್ತು ಆಡಳಿತಾತ್ಮಕ ಪೋರ್ಟ್‌ಗಳು ಖಾಸಗಿ ವಿಳಾಸದಲ್ಲಿವೆ ಎಂದು ಖಚಿತಪಡಿಸಿ. ಕ್ಲೌಡ್ ಕನ್ಸೋಲ್‌ನಲ್ಲಿ ಕೆಲಸದ ಒತ್ತಡದ ಉಪಜಾಲದ ಒಳಬರುವ ನಿಯಮಗಳನ್ನು ಓದಿ ಮತ್ತು ಯಾವುದೇ ಆಡಳಿತಾತ್ಮಕ ವಸ್ತುವಿನ ಮೇಲೆ 0.0.0.0/0 ಹುಡುಕಿ. ನಂತರ ಖಾಸಗಿ ಮಾರ್ಗದ ಹೊರಗಿನಿಂದ ಸಂಪರ್ಕವನ್ನು ಪ್ರಯತ್ನಿಸಿ, ಏಕೆಂದರೆ ಆ ಪರೀಕ್ಷೆಯೇ ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ.
SSH ಮೇಲೆ ಒಂದೇ ವಿಶ್ವ-ಮುಕ್ತ ನಿಯಮ ಸುರಂಗ ವಿನ್ಯಾಸದ ಪ್ರತಿಯೊಂದು ವಾದವನ್ನೂ ರದ್ದುಗೊಳಿಸುತ್ತದೆ.
ವಿನ್ಯಾಸಗಳನ್ನು ಹೋಲಿಸುವ ಮೊದಲು ನಕ್ಷೆ ಬರೆಯಿರಿ
ದಾಸ್ತಾನಿನ ಪ್ರತಿ ಸಾಲಿಗೂ ಯಾರು ಗುರುತುಗಳನ್ನು ಅನುಮೋದಿಸುತ್ತಾರೆ, ಯಾರು ಪ್ರವೇಶ ನಿಯಮಗಳನ್ನು ನವೀಕರಿಸುತ್ತಾರೆ, ಯಾರು ಹೋದಾಗ ರುಜುವಾತುಗಳನ್ನು ತೆಗೆದುಹಾಕುತ್ತಾರೆ ಮತ್ತು ಮಾರ್ಗವೇ ಮುರಿದಾಗ ಯಾರು ಮರುಸ್ಥಾಪನೆ ನೋಡಿಕೊಳ್ಳುತ್ತಾರೆ ಎಂದು ದಾಖಲಿಸಿ. ಪ್ರತಿ ಸಾಲಿಗೆ ನಾಲ್ಕು ಹೆಸರುಗಳು ಉತ್ತರವು ಹಂಚಿದ ಖಾತೆ ಮತ್ತು ಮೂರು ವರ್ಷದ ಹಳೆಯ ವಿಕಿ ಪುಟವಾಗಿರುವ ಸಾಲುಗಳನ್ನು ಬಯಲಿಗೆಳೆಯಲು ಸಾಕು.
ನಂತರ ಪ್ರತಿ ಚಾನಲ್‌ಗೂ ಒಂದು ಅನುಮತಿ ಮತ್ತು ಒಂದು ನಿರಾಕರಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ. ಅನುಮತಿ ಉದ್ದೇಶಿತ ಗುರುತು ಉದ್ದೇಶಿತ ಮಾರ್ಗದ ಮೂಲಕ ಸಂಪನ್ಮೂಲವನ್ನು ತಲುಪಬಲ್ಲದು ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ. ನಿರಾಕರಣೆ ಇದೇ ರೀತಿಯ ಗುರುತು ತಲುಪಲಾರದು ಎಂದು ಸಾಬೀತುಪಡಿಸುತ್ತದೆ, ಮತ್ತು ಜನರು ಬಿಟ್ಟುಬಿಡುವ ಪರೀಕ್ಷೆ ಅದೇ, ಆದ್ದರಿಂದ ಪರ್ಯಾಯ ಶ್ರೋತಗಳು ಲೆಕ್ಕಪರಿಶೋಧನೆಗಳನ್ನು ಬದುಕುತ್ತವೆ. ಪ್ರಸ್ತಾವಿತ ವಿನ್ಯಾಸವನ್ನು ಈ ಫಲಿತಾಂಶಗಳೊಂದಿಗೆ ಹೋಲಿಸಿ, ಆ್ಯಪ್‌ನ TLS ಸಂರಚನೆಯೊಂದಿಗೆ ಅಲ್ಲ, ಅದು ಅವುಗಳಲ್ಲಿ ಯಾವುದನ್ನೂ ಎಂದೂ ಪರೀಕ್ಷಿಸಿಲ್ಲ.
ಸೈಟ್ VPN ಇನ್ನೂ ಎಲ್ಲಿ ತನ್ನ ಸ್ಥಾನ ಗಳಿಸುತ್ತದೆ
ಸಂಪನ್ಮೂಲಕ್ಕೆ ಪ್ರತಿ ವಿನಂತಿಗೆ ಸ್ವಂತ ದೃಢೀಕರಣ ಇಲ್ಲದಿದ್ದಾಗ ಸುರಂಗ ಅಥವಾ ಸಣ್ಣ ಗೇಟ್‌ವೇ ಸರಿಯಾದ ಉತ್ತರ: ಡೇಟಾಬೇಸ್ ನಿರ್ವಹಣಾ ಪೋರ್ಟ್‌ಗಳು, ಬ್ಯಾಕಪ್ ಗುರಿಗಳು, ಹೈಪರ್‌ವೈಸರ್ ಕನ್ಸೋಲ್‌ಗಳು, ಬ್ಯಾಂಡ್‌ನ ಹೊರಗಿನ ನಿರ್ವಹಣೆ. ಆ ಶ್ರೋತಗಳು ನೆಟ್‌ವರ್ಕನ್ನು ನಂಬುತ್ತವೆ, ಆದ್ದರಿಂದ ಕರೆ ಮಾಡುವವರನ್ನು ದೃಢೀಕರಿಸುವುದು ನೆಟ್‌ವರ್ಕವೇ ಆಗಿರಬೇಕು.
ಇದು ಏಕೈಕ ಉತ್ತರವಲ್ಲ. ಪ್ರತಿ ಸಂಪನ್ಮೂಲಕ್ಕೂ ಅಧಿಕಾರವನ್ನು ಮುಗಿಸುವ ಗೇಟ್‌ವೇ ಇಡೀ ಉಪಜಾಲದ ಸುರಂಗಕ್ಕಿಂತ ಸಣ್ಣದಾಗಿರಬಹುದು ಮತ್ತು ಹಂಚಿದ ಜಂಪ್ ಹೋಸ್ಟ್‌ಗಿಂತ ಉತ್ತಮ ಲೆಕ್ಕಪರಿಶೋಧನಾ ಜಾಡನ್ನು ಬಿಡುತ್ತದೆ.
ಕೆಲಸದ ಕ್ರಮ: ದಾಸ್ತಾನು ಪೂರ್ಣಗೊಳಿಸಿ, ಪರ್ಯಾಯಗಳನ್ನು ಮುಚ್ಚಿ, ಪ್ರತಿ ಸಾಲಿಗೂ ಒಂದು ನಿರಾಕರಣೆಯನ್ನು ಪರಿಶೀಲಿಸಿ, ನಂತರವೇ ಸುರಂಗವನ್ನು ತೆಗೆದುಹಾಕಿ. ಯಾವುದೇ ಸಾಲು ನಿರಾಕರಣೆ ಉತ್ಪಾದಿಸಲಾಗದಿದ್ದರೆ, ಸಾಧ್ಯವಾಗುವವರೆಗೆ ಖಾಸಗಿ ಮಾರ್ಗವನ್ನು ಇಟ್ಟುಕೊಳ್ಳಿ.