Daugelio nuomininkų VPN: bendras šliuzas, nuomininkui ar hostui
Tunelis nėra nuomininkų izoliacija. Palyginkite bendrą šliuzą, šliuzus kiekvienam nuomininkui ir ryšius kiekvienam hostui pagal tapatybės susiejimą, maršrutizavimą ir išėmimą.
Nuspręskite, kas įleidžia klientą ir kas neleidžia tam klientui pasiekti kito nuomininko išteklių. Tai du sprendimai, ir pasirinkus IPsec, WireGuard ar mesh produktą neatsakoma nė į vieną. Puikiai užsikuriantis tunelis vis tiek gali palikti kiekvieną nuomininką pasiekiantį visus kitus, o apžvalga, kuri abu dalykus laiko vienu, patvirtina neteisingą projektą. Pirmiausia parašykite kliento-šaltinio žemėlapį: administratoriai, palaikymo prieiga, bendros paslaugos ir keliai, kurie turi likti uždrausti.
Pradėkite nuo žemėlapio, o ne nuo produkto
Tas žemėlapis yra pirmasis artefaktas, o kiekvienas žemiau esantis pasirinkimas tėra sprendimas, kur gyvena jį įgyvendinanti riba. Laikykite jį peržiūrimu: viena eilutė klientui, viena eilutė bendrai paslaugai ir uždrausti keliai išrašyti.
Žemėlapis, kurio niekas negali perskaityti, yra žemėlapis, kurio niekas neįgyvendins.
Vienas priėmimo taškas ir jo susiejimo problema
Kiekvieną vietą nusprendžia vienas operacinis klausimas, o lentelė yra visas palyginimas.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Bendras šliuzas centralizuoja priėmimą ir sutelkia riziką vienoje vietoje: nuomininko tapatybės ir jo politikos sąsają. Grupės ar tunelio adresai turi būti susieti su teisingomis išteklių teisėmis, o skirtinga etiketė kiekvienam klientui savaime nieko netrukdo. Atskiri maršrutizavimo kontekstai gali laikyti persidengiančius prefiksus, kai platforma tai palaiko ir projektas baigtas. Paprasta bendra maršrutizavimo lentelė negali atskirti dviejų vienodų paskirties prefiksų vien todėl, kad juos naudojantys žmonės turi skirtingas paskyras.
Tai daugumos projektų testas. Du nuomininkai, kurie viduje numeruoja su 10.0.0.0/8, turi turėti atskirą maršrutizavimo būseną, o ne pavadinimų konvenciją.
Šliuzas nuomininkui perka ribas ir sistemas
Vienas šliuzas klientui kai kurias administracines ribas daro lengviau paaiškinamas, nes to kliento priėmimas ir politika yra kartu. Jis taip pat padaugina sistemas, kurioms reikia prisijungimo duomenų, pataisų, stebėsenos ir savininko. Ir jis neįrašo vienos nustatytos viešųjų adresų tvarkos: galinių taškų bendrinimas, vertimas ir protokolų demultipleksavimas priklauso nuo to, ką įgyvendinimas iš tikrųjų palaiko.
Suskaičiuokite sistemas ir žmones prieš skaičiuodami saugumo naudą. Projektas su keturiais daugiau šliuzų, nei komanda spėja pataisyti, praktiškai nėra labiau izoliuotas.
Jei nuomininkų skaičius kinta kas mėnesį, tam modeliui reikia automatizavimo istorijos, o ne šablono.
Ryšiai kiekvienam hostui perkelia darbą
Ryšys kiekviename prieglobos serveryje nepanaikina operacinio darbo, o perkelia jį į mašinos gyvavimo ciklą. Registracija, politika kiekvienai mašinai, raktų rotacija ir pakeitimas tampa diegimo dalimi, ir jie nepavyksta tame pačiame lange kaip pati mašina. Keliems ilgaamžiams hostams skirtinguose tinkluose tai dažnai teisinga, o laivynui, kuris jau pametė pėdsaką, kuris atvaizdas kur veikia, retai.
Kiekviename variante įvardykite vaidmenį tapatybės išdavimui, atnaujinimams, prieigos pašalinimui, stebėsenai ir atkūrimui. Tada paklauskite, kas nutinka tą dieną, kai vienas klientas išeina.
Išėmimas priklauso palyginimui
Dauguma palyginimų praleidžia išėmimą. Nuomininko pašalinimas turėtų panaikinti jo prisijungimo duomenis, numesti jo politiką, atlaisvinti jo adresus ir maršrutizavimo būseną ir palikti visus kitus nepaliestus. NIST nulinio pasitikėjimo architektūros gairės čia yra tinkama nuoroda, nes jos autentifikavimą ir autorizaciją kelia į išteklių, o ne pasitiki tinklo pozicija, ir tai galioja ir kliento pačio segmento viduje.
Pasverkite leidžiamus ir draudžiamus srautus, persidengiančių adresų tvarkymą ir išėmimo procedūrą, prieš pasverdami protokolų etalonus. Tada pasirinkite transportą ir autentifikavimo metodą, kurie atitinka pasirinktą ribą. Senesnis produkto pavadinimas arba teiginys, kad kiekvienas verslas turi standartizuotis viename protokole, nieko iš to neišsprendžia. Pirmiausia parašytas žemėlapis tai padaro.