Көптенанттык VPN: жалпы шлюз, ар бир тенантка же ар бир хостко
Туннель тенанттарды обочолонуу эмес. Жалпы шлюзди, ар бир тенантка шлюздерди жана ар бир хостко туташууларды идентификация картасы, маршруттоо жана чыгаруу боюнча салыштырыңыз.
Кардарды ким кабыл алаарын жана ал кардарга башка тенанттын ресурстарына жетүүгө эмне тоскоол болорун чечиңиз. Бул эки чечим, жана IPsec, WireGuard же mesh продуктусун тандоо экөөнө тең жооп бербейт. Так көтөрүлгөн туннель да ар бир тенантка калгандардын баарына жетүүгө мүмкүндүк калтырышы мүмкүн, ал эми экөөнү бир нерсе деп эсептеген кароо туура эмес долбоорду бекитет. Адегенде кардар-ресурс картасын жазыңыз: администраторлор, колдоо кирүүсү, жалпы кызматтар жана тыюу салынган бойдон калышы керек жолдор.
Продуктудан эмес, картадан баштаңыз
Ошол карта биринчи артефакт, жана төмөнкү ар бир тандоо аны аткарган чектин кайда жайгашканы жөнүндө гана чечим. Аны карап чыгууга ыңгайлуу кармаңыз: ар бир кардарга бир сап, ар бир жалпы кызматка бир сап жана тыюу салынган жолдор жазылган.
Эч ким окуй албаган карта — эч ким аткарбаган карта.
Бир кабыл алуу пункту жана анын картага түшүрүү маселеси
Ар бир жайгаштыруу бир гана операциялык суроо менен чечилет, ал эми таблица — бүт салыштыруу.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Жалпы шлюз кабыл алууну борборлоштурат жана тобокелди бир жерге топтойт: тенанттын идентификациясы менен анын саясатынын ортосундагы байланыш. Топтор же туннелдин дареги туура ресурс укуктарына айланышы керек, ал эми ар бир кардар үчүн башка белги өзүнөн өзү эч нерсени тыя албайт. Өзүнчө маршруттоо контексттери платформа колдосо жана долбоор толук болсо, кайчылашкан префикстерди кармай алат. Жөнөкөй жалпы маршруттоо таблицасы эки бирдей багыт префикстин алардын артындагы адамдардын эсептери башка болгондуктан гана ажырата албайт.
Бул көпчүлүк долбоорлор үчүн сыноо. Ичинен 10.0.0.0/8 менен номерлеген эки тенантка аталыш конвенциясы эмес, бөлүнгөн маршруттоо абалы керек.
Ар бир тенантка шлюз чектерди жана системаларды сатып алат
Ар бир кардарга бир шлюз кээ бир административдик чектерди түшүндүрүүнү жеңилдетет, анткени ошол кардардын кабыл алуусу менен саясаты бирге турат. Ал ошондой эле күбөлүктөр, жамаачылар, көзөмөл жана ээси талап кылынган системалардын санын көбөйтөт. Жана ал коомдук даректердин бир гана белгиленген тартибин таңуулабайт: акыркы чекиттерди бөлүшүү, которуу жана протоколдорду демультиплекстөө ишке ашыруу чындап эмнени колдогонуна көз каранды.
Коопсуздук пайдасын санаардан мурун системаларды жана адамдарды санаңыз. Команда жамаачылай алганынан төрт шлюз көп долбоор иш жүзүндө обочолонгон эмес.
Эгер тенанттардын саны ай сайын өзгөрсө, ал модель үлгү эмес, автоматташтыруу баянын талап кылат.
Ар бир хостко туташуулар жумушту жылдырат
Ар бир хосттолгон машинадагы туташуу операциялык жумушту жойбойт, аны машинанын жашоо циклинө өткөрөт. Каттоо, машина боюнча саясат, ачкычтарды айландыруу жана алмаштыруу камсыздоонун бөлүгү болуп калат жана алар машинанын өзүндөй эле ошол эле терезеде ийгиликсиз болот. Бөлөк тармактардагы бир аз узак өмүрлүү хосттор үчүн бул көбүнчө туура, ал эми кайсы образ кайда иштегенин бат эле жоготкон флот үчүн сейрек.
Ар бир вариантта идентификация берүү, жаңыртуулар, кирүүнү алуу, көзөмөл жана калыбына келтирүү үчүн ролду атаңыз. Анан бир кардар кеткен күнү эмне болорун сураңыз.
Чыгаруу салыштырууга кирет
Көпчүлүк салыштыруулар чыгарууну өткөрүп жиберет. Тенантты алып салуу анын күбөлүктөрүн жараксыз кылышы, саясатын түшүрүшү, даректерин жана маршруттоо абалын бошотушу жана калгандардын баарын тийбеген бойдон калтырышы керек. NISTдин нөл ишеним архитектурасы боюнча көрсөтмөсү бул жерде туура шилтеме, анткени ал аутентификация менен авторизацияны тармактык позицияга ишенүүнүн ордуна ресурска коёт, жана бул кардардын өз сегментинин ичинде да колдонулат.
Протокол эталондорун өлчөөдөн мурун уруксат берилген жана тыюу салынган агымдарды, кайчылашкан даректерди иштетүүнү жана чыгаруу жол-жобосун өлчөңүз. Анан тандалган чекке ылайык келген транспорт жана аутентификация ыкмасын тандаңыз. Эски продукт аталышы же ар бир бизнес бир протоколго стандартташы керек деген ырастоо булардын эч бирин чечпейт. Биринчи жазылган карта чечет.