Braucht Dir nach eng VPN, wann Dir en Identity-Aware Proxy benotzt?

D'Uname ass esou: soubal en identitéitsbewusste Proxy virun den internen Applikatioune steet, ass d'VPN nëmmen Dekoratioun an de Client kann goen. Dat gëllt fir ee schmuelen Fall, eng interaktiv HTTPS-Applikatioun, déi eng Persoun am Browser benotzt, an et schläit sech a säimlos iwwerall soss. En Proxy autoriséiert eng Ufro vis-à-vis vun enger Ressource; eng VPN léisst e Client an e Netzwierkberäich, an déi zwou Grenze falen seelen zesummen. Ier Dir en Tunnel ofbaut, vergläicht d'Operatiounen, déi är Leit wierklech maachen, net d'Produktlabels um Diagramm.

Déi zwou Paarte autoriséieren verschidden Saachen

Eng Applikatiounspaart entscheet, ob dës Ufro, vun dëser Identitéit, dës geschützte Ressource erreeche kann. D'Iwwersiicht vum Identity-Aware Proxy vu Google beschreift genee dës Form: eng zentral Autorisatiounsschicht virun HTTPS-Applikatiounen, déi vun enger IAM-Roll gestéiert gëtt. D'Grenz ass d'Ressource, an d'Eenheet vum Zougang ass d'Ufro. Eng geroutet VPN mécht eppes méi Grobes a Breites: se léisst e Client an en definéierte Netzwierkberäich, an duerno entscheet d'Applikatioun nach ëmmer, wat dëb Client däerf.

Keen vun deenen zwee Modeller implizéiert deen aneren. Duerch d'Paart ze goen seet näischt iwwer d'Liesen vun engem bestëmmten Rekord, an um Netz ze sinn seet näischt iwwer d'Erlafnes ze handelen.

Wat de Proxy net deckt, an d'VPN schonn

SSH-Sessiounen, Datebank-Cliente, Message-Broker an intern Hostnimm, déi keen Browser jee opmécht, ginn net erreechbar just well et e Webproxy gëtt. Jiddwereen schwätzt säin eegene Protokoll, a jiddwereen brauch entweder säin eegene authentifizéierte Wee oder en Netz, dat en dréit. Dat ass de Spalt, deen d'Leit den éischten Dag vun enger Migratioun entdecken, meeschtens vun engem Bereetschaftsingenieur mat engem Laptop, deen en Hostnimm net méi ka opléisen.

De ëmgedréite Spalt ass grad esou reell. Eng VPN, déi e Client an en UnderNetz léisst, authentifizéiert net d'Persoun dobannen, an en Apparat, deen an deem UnderNetz kompromittéiert gouf, ierft wat d'Netz erläbt. Wann d'Ufuerderung Autorisatioun pro Ufro mat enger auditéierbarer Identitéit ass, kann d'Routage eleng dat net produzéieren. Déi meescht Organisatiounen enden domat, datt se béides bedreiwen, an d'interessant Fro ass, wéi eng Ressourcen all eenzele viru sech stoen däerf.

De Client-Workflow entscheet méi wéi den Architekturdiagramm

En Browser-Login mat enger Ëmlenkung an enger geleeëntlecher MFA-Herausfuerderung ass eng gutt Erfarung fir eng Persoun, déi op e Lészeechen klickt. En Cron-Job, eng CLI oder en Build-Agent huet kee Browser a kann net op eng interaktiv Ufro äntweren, also brauch en en dokumentéierten net-interaktive Wee oder den Tunnel. D'Entdeckung vun dëser Ufuerderung geschitt meeschtens, nodeems den Design accordéiert ass.

Zielt d'Clienten, ier Dir d'Applikatiounen zielt. Een Dashboard ka honnert Leit déngen; een Datebankport ka en ganzen Team blockéieren.

Den Apparatpostur ass keng Eegeschaft vun enger vun deenen zwou Paarten

D'Installatioun vun engem VPN-Client ass keng Konformitéitsprëfung, an en browserbaséierten Design ass net automatesch net fäeg, eng Politik fir geréiert Apparater ze respektéieren. Béides kann sech mat Postursignaler integréieren, a béides ka sech ouni déi deployéieren. Frot, wéi eng Duerchsetzung et gëtt, wiem d'Politik gehéiert a wat mat engem Apparat geschitt, deen se net erfëllt, anstatt et aus der Form vum Produkt ofzeleeden.

Déiselwecht Vorsicht gëllt fir d'Entzéien vum Zougang. Eng Gruppememberschaft am Proxy läschen an en Zertifikat fir den Tunnel widerrufen sinn verschidden Operatiounen mat verschidden Verzégerung, an eng dovun gëtt beim Austrétt meeschtens vergiess.

Fannt d'alternativ Weeër, ier Dir eppes ofbaut

En ongeschützten Urspronk hannert dem Proxy, en zweeten Hostnimm, deen en ëmgeet, oder eng breet privat Route aus engem fréiere Design entscheeden, wéi eng Paart tatsächlech a Kraaft ass. Test en erlaabt an en ofgelehnt Operatioun iwwer de richtege Client, net iwwer d'Konsole, an test se vun engem Apparat, deen ni registréiert gouf. Den ofgelehnte Fall ass deen, deen Iech seet, ob d'Paart iwwerhaapt eppes mécht.

Schreift duerno d'Iwwerleeferung: Umeldung, Updates, Entzéien vum Zougang an de Recuperatiounswee fir een, deen um 2 Auer nuets ausgespaart ass. Eng Ufro oder eng Client-Applikatioun ewechzehuelen verréckelt Responsabilitéit tëschend Teamen; et läscht d'Responsabilitéit net.

Wann Dir dës Woch entscheet, fänkt mat enger Lëscht vun Operatiounen un an net mat enger Lëscht vu Produkter, markéiert, wéi eng e Browser ka maachen, a loosst de Rescht deen Netz-Zougang justifizéieren, deen iwwerlëft.