파트너를 통합하지 않고 파트너 VPN 접근을 중앙화하기

제안은 합리적이다. 열두 대 남짓한 노트북에 흩어진 다섯 개의 파트너 터널, 다섯 벌의 클라이언트 버전, 다섯 개의 헬프데스크 스크립트, 그리고 그것들이 어떻게 맞물리는지 아는 엔지니어 한 명. 통제된 접근 계층으로 옮기면 엔드포인트 난립은 해결된다. 동시에 아키텍처에 새로운 객체가 생긴다. 이제 자체 권한 모델이 필요한 공유 접근 서비스이며, 모두가 과소평가하는 실패는 모든 터널이 켜진 중앙 장비가 이웃이 되기로 한 번도 동의하지 않은 조직 사이의 통과 네트워크로 조용히 변하는 것이다. 그 위험은 설계 선택이며, 하드웨어가 스스로 하는 일이 아니다. 아래 작업은 의도치 않은 부작용을 받아들이지 않고 편의를 유지하는 방법이다.

각 파트너가 이미 서명한 계약에서 시작하라

어떤 구성보다 먼저 그 파트너가 공유 게이트웨이나 사이트 연결을 애초에 허용하는지 확인하라. 개인 원격 접근 계정, 장치 상태 요건, 대화형 MFA 흐름은 무인 공유 터널로 옮길 수 없을 수 있고, 복사한 하나의 클라이언트 ID 뒤에 직원을 모으는 것은 파트너가 로그를 감사할 때까지 살아남는 종류의 지름길이다. 허용된 연결마다 대상 범위, 사설 DNS 도메인, 승인된 내부 원본, 인증 책임자, 터널 실패 시 동작을 기록하라. 파트너에게 공유 연결을 서면으로 확인해 달라고 요청하고, 그들이 받아들일 원본 범위도 포함하라. 구두 승인은 보통 그들의 보안 팀이 교체되는 주에 의미가 바뀐다.

그 기록이 결과물이다. 한 파트너를 위해 쓰지 못한다면 그 파트너는 중앙화할 준비가 안 된 것이다.

대상만이 아니라 컨텍스트로 라우팅하라

모든 조직이 같은 RFC 1918 공간에서 고르기 때문에 두 파트너는 결국 같은 사설 범위를 쓴다. 평범한 라우팅 테이블 하나는 대상 주소만으로 올바른 파트너를 고를 수 없으므로 겹치는 범위에는 별도의 라우팅 컨텍스트나 다른 합의된 설계가 필요하다. RFC 4364 의 포워딩 도메인 모델은 이 분리가 왜 중요한지 설명하며, 배포는 게이트웨이 플랫폼에 같은 속성을 요구하기 위해 MPLS를 돌릴 필요가 없다.

플랫폼에 직접 물어라. 두 파트너가 같은 대상 프리픽스를 공유하면서도 세션이 어느 직원 컨텍스트에서 왔는지로 구별될 수 있는가? 답이 아니오라면 그 제약이 어떤 벤더의 기능 목록보다 설계를 더 크게 규정한다.

답이 예인 곳에서는 라우팅 컨텍스트가 문서화하고 시험할 대상이 된다. traceroute에서는 보이지 않기 때문이다.

직원이 입력하는 것과 파트너가 기록하는 것을 정하라

파트너 업무의 일부는 애플리케이션 프록시나 그 파트너의 컨텍스트 안에서 열리는 원격 작업 공간에 맞는다. 다른 업무는 승인된 직원 세그먼트에서 라우팅된 네트워크 접근이 필요하고, 둘은 먼 쪽에서 서로 다른 원본 주소와 다른 감사 흔적을 만든다. 공유된 변환 원본 주소는 허용 목록을 만족시키면서 어느 장치가 무엇을 했는지 감추므로, 직원과 세션의 대응을 확실히 기록하고 게이트웨이 주소를 ID로 취급하는 대신 애플리케이션 인증을 유지하라. 그것이 편한 것은 파트너가 누가 했느냐고 묻는 순간까지다.

그다음 직원 쪽에서 실제 작업 하나를 걸어 보라. 무엇을 클릭하고, 무엇을 요구받고, 파트너가 로그 항목을 요청하면 무엇을 볼지. 그 행보가 재현되지 않으면 설계는 끝나지 않았다.

파트너 간 통과를 명시적으로 거부하라

공유 하드웨어는 공유 신뢰를 뜻해서는 안 된다. 거부를 이름 있는 책임자가 있는 의도적 규칙으로 추가하라. 빠진 구성의 사고가 아니라, 그렇지 않으면 성공했을 요청으로 양방향에서 시험하라. 시험이 중요한 이유는 단지 없는 허용은 무관한 불만을 고치려고 경로를 추가하는 다음 엔지니어가 되살릴 수 있기 때문이다.

거부를 허용 옆에 있는 파트너 기록에 적어라. 그래야 의도가 인사 교체를 넘어 살아남는다.

더 큰 노트북이 아니라 공유 서비스로 운영하라

터널 갱신, 자격 증명 순환, 용량, 게이트웨이 교체가 이제 모두 공유 서비스의 변경이 된다. 즉 개별 노트북에는 결코 필요 없던 일정과 연락 경로가 필요하다. 토요일에 만료되는 파트너 인증서는 더 이상 한 사용자의 장애가 아니다. 그 파트너의 모든 세션이 동시에 멈춘다.

파트너 간 거부된 요청이 의도대로 실패하고 허용된 직원 요청이 올바른 원본으로 올바른 대상에 도달할 때만 그 계층을 받아들여라. 노트북 충돌을 없애면서 각 파트너의 경계를 온전히 유지하는 것이 요점이며, 모든 원격 프리픽스가 모든 책상에서 닿는 설계는 문제를 옮겼을 뿐이다.

파트너, 컨텍스트, 허용 범위, 책임자의 작은 표를 유지하라. 사고 때 누군가 가장 먼저 요청할 것이 그것이다.