Multi-Tenant VPN: gemeinsamen Gateway, pro Tenant oder pro Host
En Tunnel ass keng Tenant-Isolatioun. Vergläicht e gemeinsamen Gateway, Gateways pro Tenant an Verbindungen pro Host bei der Identitéits-Zouuerdnung, Routing an der Ofschafung.
Entscheet, wien e Client eraléisst a wat dee Client drun hënnert, d’Ressourcen vun engem aneren Tenant z’erreechen. Dat sinn zwou Entscheedungen, an d’Wiel vun IPsec, WireGuard oder engem Mesh-Produkt beäntwert keng vun deenen zwou. En Tunnel, deen eenzegaarteg gutt eropkënnt, kann nach ëmmer all Tenant fäeg loossen, all aneren z’erreechen, an eng Iwwerpréiwung, déi déi zwou als dat selwecht behandelt, gëtt déi falsch Konzeptioun gutt. Schreift d’éischt d’Kaart Client-zu-Ressource: Administratoren, Support-Zougang, gedeelt Servicer an d’Weeër, déi verweigert musse bleiwen.
Fänkt mat der Kaart un, net mam Produkt
Déi Kaart ass den éischten Artefakt, an all Wiel hei drënner ass just eng Entscheedung doriwwer, wou d’Grenz läit, déi se ëmsetzt. Halt se iwwerpréifbar: eng Zeil pro Client, eng Zeil pro gedeelte Service an d’verweigert Weeër ausgeschriwwen.
Eng Kaart, déi keen liese kann, ass eng Kaart, déi keen ëmsetze wäert.
Een Admissiounspunkt a säi Mappungsproblem
All Plaz gëtt vun enger eenzeger operationeller Fro entscheet, an d’Tabell ass de ganze Verglach.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
E gemeinsamen Gateway zentraliséiert d’Admissioun a konzentréiert de Risiko op enger Plaz: d’Verbindung tëscht der Identitéit vun engem Tenant a senger Politik. Gruppen oder Tunneladressen musse sech op déi richteg Ressource-Berechtegungen opléisen, an en anert Label pro Client verhënnert fir sech selwer näischt. Getrennt Routing-Kontexter kënnen iwwerlappend Präfixer halen, wann d’Plattform et ënnerstëtzt an d’Konzeptioun komplett ass. Eng einfach gedeelt Routing-Tabell kann zwou identesch Destinatiounspräfixer net auserneenhalen, just well d’Leit hannendrun verschidde Konten hunn.
Dat ass den Test fir déi meescht Konceptiounen. Zwou Tenantë, déi allen zwee intern mat 10.0.0.0/8 nummeréieren, brauchen en getrennte Routing-Zoustand, net eng Nummkonventioun.
E Gateway pro Tenant kaaft Grenzen a Systemer
Een Gateway pro Client mécht e puer administrativ Grenzen einfach z’erklären, well Admissioun a Politik fir dee Client zesummen sëtzen. Et multiplizéiert awer och d’Systemer, déi Umeldungsinformatiounen, Patches, Iwwerwaachung an en Eegentümer brauchen. An et forcéiert keng eenzeg virgeschriwwen Ëffentlech-Adressen-Ordnung: d’Deelung vun Endpunkten, d’Iwwersetzung an d’Demultiplexing vu Protokollen hänkt dovun of, wat d’Implementatioun tatsächlech ënnerstëtzt.
Zielt d’Systemer an d’Leit, ier Dir de Sécherheetsgewënn zielt. Eng Konzeptioun mat véier Gatewayen méi wéi d’Equipe patchen kann ass an der Praxis net méi isoléiert.
Wann d’Zuel vun den Tenantë sech all Mount ännert, brauch dee Modell eng Automatiséierungsgeschicht an net eng Schabloun.
Verbindungen pro Host verréckelen d’Aarbecht
Eng Verbindung op all gehostete Maschinn hëlt d’operationell Aarbecht net ewech, se verréckelt se an de Liewenszyklus vun der Maschinn. D’Aschreiwung, d’Politik pro Maschinn, d’Schlësselrotatioun an den Ersatz ginn Deel vun der Provisionéierung, an se fale am selwechte Fënster wéi d’Maschinn selwer. Fir eng Handvoll laanglieweg Hosten op verschiddenen Netzwierker ass dat dacks richteg, a fir eng Flott, déi schonn den Iwwerbléck verluer huet, wéi ee Bild wou leeft, seelen.
Nennt eng Roll fir d’Identitéitsausgab, d’Updates, d’Entferne vum Zougang, d’Iwwerwaachung an d’Erhuelung ënner all Optioun. Da freet, wat geschitt den Dag, wou een Client fortgeet.
D’Ofschafung gehéiert an de Verglach
Déi meescht Vergläicher loossen d’Ofschafung aus. En Tenant ewechhuelen sollt seng Umeldungsinformatiounen ongülteg maachen, seng Politik fale loossen, seng Adressen a säi Routing-Zoustand fräiginn an all déi aner onberéiert loossen. D’NIST-Leitlin fir Nullvertrauensarchitektur ass hei déi richteg Referenz, well se Authentifikatioun an Autorisatioun op d’Ressource setzt, amplaz enger Netzwierkpositioun ze vertrauen, an dat gëllt och bannent dem Client sengem eegene Segment.
Wéit erlaabt an verweigert Flëss, de Ëmgang mat iwwerlappenden Adressen an d’Ofschafungsprozedur of, ier Dir Protokollbenchmarken ofwéit. Dann wielt en Transport an eng Authentifikatiounsmethod, déi zu der Grenz passen, déi Dir gewielt hutt. En eeleren Produktnumm, oder d’Behaaptung, all Betrib misst sech op ee Protokoll standardiséieren, entscheet näischt dovu. D’Kaart, déi Dir éischt geschriwwen hutt, mécht dat.