Ar jums dar reikia VPN, jei naudojate Identity-Aware Proxy?

Prielaida skamba taip: kai tik priešais vidines programas atsiranda tapatybę žinantis tarpinis serveris, VPN tėra puošmena ir klientas gali išeiti. Tai galioja vienam siauram atvejui, interaktyviai HTTPS programai, kurią žmogus naudoja naršyklėje, ir tyliai nepavyksta visur kitur. Tarpinis serveris suteikia teisę užklausai į išteklų; VPN įleidžia klientą į tinklo sritį, ir šios dvi ribos retai sutampa. Prieš atsisakydami tunelio, palyginkite operacijas, kurias jūsų žmonės iš tikrųjų atlieka, o ne produkto etiketes diagramoje.

Dveji vartai suteikia teises skirtingiems dalykams

Programos vartai sprendžia, ar ši užklausa iš šios tapatybės gali pasiekti šį apsaugotą išteklų. Google Identity-Aware Proxy apžvalga aprašo būtent tokią formą: centrinis autorizacijos sluoksnis prieš HTTPS programas, valdomas IAM vaidmens. Riba yra išteklius, o prieigos vienetas yra užklausa. Maršrutizuotas VPN daro ką nors grubesnio ir platesnio: įleidžia klientą į apibrėžtą tinklo sritį, o po to programa vis tiek sprendžia, ką tas klientas gali daryti.

Nė vienas modelis neimplikuoja kito. Praėjus vartus nieko nesakoma apie konkretaus įrašo skaitymą, o buvimas tinkle nieko nesako apie leidimą veikti.

Ko tarpinis serveris neapima, o VPN apima

SSH sesijos, duomenų bazių klientai, pranešimų brokeriai ir vidiniai mazgų vardai, kurių jokia naršyklė niekada neatidaro, netampa pasiekiami vien todėl, kad yra žiniatinklio tarpinis serveris. Kiekvienas kalba savo protokolu, ir kiekvienam reikia arba savo autentifikuoto kelio, arba jį nešančio tinklo. Tai spraga, kurią žmonės atranda pirmą migracijos dieną, dažniausiai iš budinčio inžinieriaus, kurio nešiojamasis kompiuteris nebegeba išspręsti mazgo vardo.

Atvirkštinė spraga taip pat reali. VPN, įleidžiantis klientą į potinklį, neautentifikuoja jame esančio žmogaus, o tame potinkyje sukompromituotas įrenginys paveldi tai, ką tinklas leidžia. Jei reikalavimas yra autorizacija kiekvienai užklausai su audituojama tapatybe, vien maršrutizavimas to negali sukurti. Dauguma organizacijų galiausiai naudoja abu, ir įdomus klausimas yra, kokiems ištekliams kiekvienas gali stovėti priekyje.

Kliento darbo eiga lemia daugiau nei architektūros diagrama

Prisijungimas naršyklėje su peradresavimu ir kartkartėmis MFA iššūkiu yra gera patirtis žmogui, paspaudžiančiam žymę. Cron užduotis, CLI arba kūrimo agentas neturi naršyklės ir negali atsakyti į interaktyvų raginimą, todėl jam reikia dokumentuoto neinteraktyvaus kelio arba tunelio. To reikalavimo atradimas paprastai įvyksta patvirtinus dizainą.

Suskaičiuokite klientus prieš skaičiuodami programas. Viena ataskaitų lentelė gali aptarnauti šimtą žmonių; vienas duomenų bazės prievadas gali užblokuoti visą komandą.

Įreginių būsena nėra nė vienų vartų savybė

VPN kliento įdiegimas nėra atitikties patikra, o naršyklėmis pagrįstas dizainas nėra automatiškai nepajėgus laikytis valdomų įrenginių politikos. Abu gali integruotis su būsenos signalais, ir abu gali būti diegiami be jų. Klauskite, koks vykdymas egzistuoja, kam priklauso politika ir kas nutinka ją pažeidusiam įrenginiui, užuot tai spęję iš produkto formos.

Tas pats atsargumas galioja prieigos panaikinimui. Grupės narystės ištrynimas tarpiniame serveryje ir sertifikato atšaukimas tuneliui yra skirtingos operacijos su skirtingu vėlavimu, ir viena jų paprastai pamirštama išeinant.

Raskite alternatyvius kelius, prieš ką nors atsisakydami

Neapsaugotas šaltinis už tarpinio serverio, antras mazgo vardas, kuris jį apeina, arba platus privatus maršrutas, likęs iš ankstesnio dizaino, nuspręs, kurie vartai iš tikrųjų galioja. Išbandykite leidžiamą ir uždraustą operaciją per tikrą klientą, o ne per konsolę, ir išbandykite juos iš įrenginio, kuris niekada nebuvo užregistruotas. Uždraustas atvejis yra tas, kuris pasako, ar vartai apskritai ką nors daro.

Tada parašykite perdavimą: registraciją, atnaujinimus, prieigos panaikinimą ir atkūrimo kelią tam, kuris užrakintas 2 valandą nakties. Raginimo arba kliento programos pašalinimas perkelia atsakomybę tarp komandų; jis neištrina atsakomybės.

Jei sprendžiate šią savaitę, pradėkite nuo operacijų sąrašo, o ne produktų sąrašo, pažymėkite, kurias gali atlikti naršyklė, ir tegul likusios pateisina tą tinklo prieigą, kuri išlieka.