Daudzīrnieku VPN: kopīga vārteja, īrniekam vai resursdatoram
Tunelis nav īrnieku izolācija. Salīdziniet kopīgu vārteju, vārtejas katram īrniekam un savienojumus katram resursdatoram pēc identitātes kartēšanas, maršrutēšanas un izņemšanas.
Izlemiet, kas ielaiž klientu un kas neļauj šim klientam sasniegt cita īrnieka resursus. Tie ir divi lēmumi, un IPsec, WireGuard vai mesh produkta izvēle neatbild ne uz vienu. Tunelis, kas uzlec nevainojami, joprojām var atstāt katru īrnieku spējīgu sasniegt visus pārējos, un pārskats, kas abus uzskata par vienu un to pašu, apstiprina nepareizu projektu. Vispirms uzrakstiet klienta-uz-resursu karti: administratori, atbalsta piekļuve, koplietotie pakalpojumi un ceļi, kuriem jāpaliek aizliegtiem.
Sāciet ar karti, nevis ar produktu
Šī karte ir pirmais artefakts, un katra zemāk esošā izvēle ir tikai lēmums par to, kur dzīvo to īstenojošā robeža. Turiet to pārskatāmu: viena rinda uz klientu, viena rinda uz koplietoto pakalpojumu un aizliegtie ceļi izrakstīti.
Karte, ko neviens nevar izlasīt, ir karte, ko neviens neīstenos.
Viens uzņemšanas punkts un tā kartēšanas problēma
Katru izvietojumu izšķir viens operatīvs jautājums, un tabula ir viss salīdzinājums.
| Placement | The question it lives or dies on |
|---|---|
| One shared gateway | How does an admitted identity end up limited to its own resources and its own routing context? |
| A gateway per tenant | Who owns each gateway, its credentials, its policy, its updates and its eventual retirement? |
| A connection per hosted machine | How do enrollment, per-machine policy and replacement work at fleet scale? |
Kopīga vārteja centralizē uzņemšanu un koncentrē risku vienā vietā: saikni starp īrnieka identitāti un viņa politiku. Grupām vai tuneļa adresēm jāatbilst pareizajām resursu atļaujām, un atšķirīga etiķete katram klientam pati par sevi neko neliedz. Atsevišķi maršrutēšanas konteksti var turēt pārklājošus prefiksus, ja platforma to atbalsta un projekts ir pilnīgs. Vienkārša kopīga maršrutēšanas tabula nevar atšķirt divus identiskus galamērķa prefiksus tikai tāpēc, ka cilvēkiem aiz tiem ir dažādi konti.
Tas ir pārbaudījums lielākajai daļai projektu. Diviem īrniekiem, kas iekšienē numurē ar 10.0.0.0/8, vajadzīgs atsevišķs maršrutēšanas stāvoklis, nevis nosaukumu konvencija.
Vārteja īrniekam pērk robežas un sistēmas
Viena vārteja klientam padara dažas administratīvās robežas viegli izskaidrojamas, jo šī klienta uzņemšana un politika atrodas kopā. Tā arī vairo sistēmas, kurām vajag akreditācijas datus, ielāpus, uzraudzību un īpašnieku. Un tā neuzspiež vienu noteiktu publisko adrešu kārtību: galapunktu koplietošana, tulkošana un protokolu demultipleksēšana ir atkarīga no tā, ko ieviešana patiešām atbalsta.
Saskaitiet sistēmas un cilvēkus, pirms skaitāt drošības ieguvumu. Projekts ar četrām vairāk vārtejām, nekā komanda spēj salabot, praksē nav vairāk izolēts.
Ja īrnieku skaits mainās katru mēnesi, šim modelim vajag automatizācijas stāstu, nevis veidni.
Savienojumi katram resursdatoram pārvieto darbu
Savienojums katrā mitinātajā mašīnā neizslēdz operatīvo darbu, tas to pārvieto mašīnas dzīves ciklā. Reģistrācija, politika katrai mašīnai, atslēgu rotācija un nomaiņa kļūst par nodrošināšanas daļu, un tie neizdodas tajā pašā logā kā pati mašīna. Dažiem ilgmūžīgiem resursdatoriem atsevišķos tīklos tas bieži ir pareizi, bet flotei, kas jau zaudējusi priekšstatu par to, kurš attēls kur darbojas, reti.
Katrā variantā nosauciet lomu identitātes izdošanai, atjauninājumiem, piekļuves noņemšanai, uzraudzībai un atkopšanai. Tad pajautājiet, kas notiek dienā, kad viens klients aiziet.
Izņemšana pieder salīdzinājumam
Lielākā daļa salīdzinājumu izlaiž izņemšanu. Īrnieka noņemšanai jāpadara nederīgi viņa akreditācijas dati, jāatmet viņa politika, jāatbrīvo viņa adreses un maršrutēšanas stāvoklis un jāatstāj visi pārējie neskarti. NIST nulles uzticēšanās arhitektūras vadlīnijas šeit ir pareizā atsauce, jo tās autentifikāciju un autorizāciju liek uz resursu, nevis paļaujas uz tīkla pozīciju, un tas attiecas arī klienta paša segmenta iekšpusē.
Izsvērt atļautās un aizliegtās plūsmas, pārklājošo adrešu apstrādi un izņemšanas procedūru, pirms izsvērt protokolu etalonus. Tad izvēlieties transportu un autentifikācijas metodi, kas atbilst izvēlētajai robežai. Vecāks produkta nosaukums vai apgalvojums, ka katram uzņēmumam jāstandartizējas vienā protokolā, neko no tā neatrisina. Vispirms uzrakstītā karte to dara.