Partner-VPN-Zougrëff zentraliséieren, ouni d’Partner ze fusionéieren

De Virschlag ass vernünfteg: fënnef Partnertunnelen, verdeelt iwwer eng Dosen Laptopen, fënnef Sätz Clientversiounen, fënnef Skripte fir de Support an een Ingenieur, dee weess, wéi se zesummenpassen. Se op eng kontrolléiert Zougrëffsstuf ze hiewen, léist d’Ausbreedung vun den Endpunkten. Et schaaf och en neien Objet an Ärer Architektur, e gemeinsamen Zougrëffsdéngscht, dee jetz säin eegene Autorisatiounsmodell brauch, an de Feeler, deen all ënnerschätzt, ass en zentraalt Apparat mat allen Tunnelen aktiv, deen ongemierkt en Transitnetz tëschent Organisatiounen gëtt, déi ni zougestëmmt hunn, Noperen ze sinn. Dëse Risiko ass eng Designentscheedung, net eppes, wat d’Hardware vun sech aus mécht. D’Aarbecht hei drënner weist, wéi ech de Komfort behalen, ouni de versehentlechen Nieweneffekt unzehuelen.

Fänkt mam Kontrakt un, deen all Partner schonn ënnerschriwwen huet

Ier Dir iergendeng Konfiguratioun maacht, bestätegt, datt de Partner iwwerhaapt e gemeinsame Gateway oder eng Siteverbindung erlaabt. E perséinleche Fernzougrëffskonto, eng Ufuerderung un den Apparatstatus oder en interaktive MFA-Floss kann net op en onbewaachte gemeinsamen Tunnel iwwerdrobar sinn, a Mataarbechter hannert enger kopéierter Clientidentitéit ze sammelen ass déi Aart Ofkierzung, déi iwwerlieft, bis de Partner seng Logge kontrolléiert. Fir all erlaabt Verbindung notéiert Dir Zilberäicher, privat DNS-Domänen, autoriséiert intern Quellen, den Eegentümer vun der Authentifizéierung a wat soll geschéien, wann den Tunnel feelt. Frot de Partner, d’gemeinsam Verbindung schrëftlech ze bestätegen, inklusiv d’Quellberäicher, déi hie wäert akzeptéieren. Eng mëndlech Zoustëmmung ännert meeschtens hir Bedeitung an der Woch, an där hiert Sécherheetsteam wechselt.

Dee Verzeechnes ass d’Resultat. Wann Dir et fir een Partner net schreiwe kënnt, ass dee Partner net prett fir zentraliséiert ze ginn.

Route no Kontext, net nëmme no Zil

Zwee Partner wäerte schlussendlech dee selwechte private Beräich benotzen, well all Organisatioun aus dem selwechten RFC 1918-Raum wielt. Eng gewéinlech Routingtabell eleng kann de richtegen Partner net nëmmen aus enger Ziladress wielen, dofir brauchen iwwerlappend Beräicher getrennt Routingkontexter oder en anert ofgemaacht Design. D’Forwarding-Domänemodell an RFC 4364 erkläert, firwat dës Trennung wichteg ass, an eng Deployement brauch kee MPLS ze bedreiwen, fir déiselwecht Eegeschaft vu senger Gatewayplattform ze verlaangen.

Frot d’Plattform direkt: kënnen zwee Partner deeselwechte Zilprefix deelen an awer dorënner ënnerscheet ginn, aus wéi engem Mataarbechterkontext d’Sessioun koum? Wann d’Äntwert nee ass, formt dës Aschränkung d’Design méi wéi all Featurelëscht vun engem Fournisseur.

Wou d’Äntwert jo ass, gëtt de Routingkontext dat, wat Dir dokumentéiert an testt, well en an engem traceroute onsichtbar ass.

Entscheet, wat de Mataarbechter tippt a wat de Partner loggt

Een Deel vun der Partneraarbecht passt zu engem Applikatiounsproxy oder engem Fernarmeechtsraum, deen am Kontext vun deem Partner opgemaach gëtt. Aner Aarbecht brauch gerouteten Netzzougrëff aus engem ugehollenen Mataarbechtersegment, a béid produzéieren anescht Quelladressen an anescht Auditsspueren um wäiten Enn. Eng gemeinsam iwwersat Quelladress kann eng Allowlist erfëllen, während se verstoppt, wéi en Apparat wat gemaach huet, dofir behält eng zouverlässeg Opzeechnung vu Mataarbechter zu Sessioun a loosst d’Applikatiounsauthentifizéierung stoen, amplaz d’Gatewayadress als Identitéit ze behandelen, wat bequem ass bis zu deem Moment, wou de Partner freet, wien et gemaach huet.

Duerno geet eng richteg Aufgab aus der Siicht vum Mataarbechter duerch: wat se klicken, wat vun hinnen gefrot gëtt a wat de Partner gesinn hätt, wann en en Logagang freet. Wann dëse Parcours net reproduzéierbar ass, ass d’Design net fäerdeg.

Verweigert den Transit tëschent Partner explizit

Gemeinsam Hardware soll ni gemeinsamt Vertraue bedeiten. Füügt d’Verweigerung als bewosst Regel mat engem genannten Eegentümer derbäi, net als Ongléck vun enger feelender Konfiguratioun, a test se a béide Richtungen mat enger Ufro, déi soss géif geléngen. Den Test ass wichteg, well eng just feelend Erlaabnes vum nächsten Ingenieur restauréiert ka ginn, deen eng Route bäifüügt, fir eng onverbonnen Plainte ze léisen.

Schreift d’Verweigerung an de Partnerverzeechnes nieft den Erlaabnesser, sou datt d’Absicht Personalwiessel iwwerlieft.

Bedreift et als gemeinsamen Déngscht, net als méi grousse Laptop

Tunnelerneierung, Rotatioun vun den Umeldungsdaten, Kapazitéit an den Ersatz vum Gateway ginn elo all Ännerungen um gemeinsamen Déngscht, dat heescht, se brauchen en Zäitplang an e Kommunikatiounswee, deen eenzel Laptopen ni gefrot hunn. En Partnerzertifikat, deen e Samschdeg ofleeft, ass net méi den Ausfall vun engem Benotzer; et sinn all Sessioune vun deem Partner op eemol.

Akzeptéiert d’Stuf eréischt, wann eng verweigert Ufro tëschent Partner genau wéi virgesi feelt an eng erlaabt Mataarbechterufro dat richtegt Zil mat der richteger Quell erreecht. De Laptopkonflikt ewechzemaachen an dobäi d’Grenz vun all Partner intakt ze loossen ass de ganze Punkt; en Design, an deem all wäite Prefix vun all Schreifdësch erreechbar ass, huet d’Problem just verréckelt.

Halt eng kleng Tabell vu Partner, Kontext, erlaabte Beräicher an Eegentümer. Si wäert dat éischt sinn, wat een an engem Incident freet.